10.2. 部署 SELinux 处于 enforcing 模式的 Tang 服务器

流程

1. 要安装 tang 软件包及其依赖项，请以 root 用户身份输入以下命令：

   # yum install tang

   Copy to Clipboard Toggle word wrap

2. 选择一个未被占用的端口，例如 7500/tcp，并允许 tangd 服务绑定到该端口：

   # semanage port -a -t tangd_port_t -p tcp 7500

   Copy to Clipboard Toggle word wrap

   请注意，一个端口一次只能由一个服务使用，因此尝试使用已占用的端口会出现 ValueError: Port already defined 错误消息。

3. 在防火墙中打开端口：

   # firewall-cmd --add-port=7500/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

4. 启用 tangd 服务：

   # systemctl enable tangd.socket

   Copy to Clipboard Toggle word wrap

5. 创建覆盖文件：

   # systemctl edit tangd.socket

   Copy to Clipboard Toggle word wrap

6. 在以下编辑器屏幕中，其打开了位于 /etc/systemd/system/tangd.socket.d/ 目录中的一个空 override.conf 文件，通过添加以下行将 Tang 服务器的默认端口从 80 改为之前选择的端口号：

   [Socket]
   ListenStream=
   ListenStream=7500

   Copy to Clipboard Toggle word wrap
   重要

   在以 # Anything between here和 # Lines below this 开头的行之间插入之前的代码片段，否则系统会丢弃您的更改。

7. 保存更改并退出编辑器。在默认 vi 编辑器中，您可以通过按 Esc 切换到命令模式，输入 :wq 并按 Enter 来实现。

8. 重新载入更改的配置：

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

9. 检查您的配置是否正常工作：

   # systemctl show tangd.socket -p Listen
   Listen=[::]:7500 (Stream)

   Copy to Clipboard Toggle word wrap

10. 启动 tangd 服务：

    # systemctl restart tangd.socket

    Copy to Clipboard Toggle word wrap

    由于 tangd 使用了 systemd 套接字激活机制，因此服务器会在第一次连接进来时就立即启动。在第一次启动时会自动生成一组新的加密密钥。要执行手动生成密钥等加密操作，请使用 jose 工具。