CentOS Context如何设置安全

在 CentOS 中，“Context”通常指 SELinux 安全上下文（Security Context）。设置 SELinux Context 是提升系统安全的重要手段。下面从概念 → 查看 → 设置 → 持久化 → 常见场景系统说明。

一、SELinux Context 是什么？

SELinux 通过 安全上下文 控制进程对文件、端口、目录的访问。

一个完整 Context 示例：

system_u:object_r:httpd_sys_content_t:s0

含义：

• system_u：用户身份
• object_r：角色
• httpd_sys_content_t：类型（最重要）
• s0：安全级别（MLS/MCS）

二、查看 SELinux Context

1️⃣ 查看文件/目录 Context

ls -Z

或

ls -Z /var/www/html

2️⃣ 查看进程 Context

ps -eZ

3️⃣ 查看端口 Context

semanage port -l

三、临时修改 Context（重启可能失效）

1️⃣ 使用 chcon（临时）

chcon -t httpd_sys_content_t /data/www/index.html

恢复默认：

restorecon -v /data/www/index.html

⚠️ chcon 不推荐用于生产环境

四、永久设置 Context（推荐 ✅）

1️⃣ 使用 semanage + restorecon

示例：让 /data/www 目录被 Apache 访问

semanage fcontext -a -t httpd_sys_content_t "/data/www(/.*)?"
restorecon -Rv /data/www

2️⃣ 查看已定义的 Context 规则

semanage fcontext -l | grep /data/www

3️⃣ 删除自定义 Context

semanage fcontext -d "/data/www(/.*)?"
restorecon -Rv /data/www

五、目录、端口、进程 Context 设置

1️⃣ 目录 Context

semanage fcontext -a -t httpd_sys_rw_content_t "/uploads(/.*)?"
restorecon -Rv /uploads

2️⃣ 端口 Context（允许服务监听非标准端口）

semanage port -a -t http_port_t -p tcp 8080

查看：

semanage port -l | grep http_port_t

六、SELinux 布尔值（Boolean）设置

很多服务安全策略通过布尔值控制：

查看所有布尔值

getsebool -a

示例：允许 Apache 访问网络

setsebool -P httpd_can_network_connect on

-P 表示永久生效

七、安全加固建议（最佳实践 ✅）

✅ 1. 不要直接禁用 SELinux

❌ 不推荐：

setenforce 0

✅ 正确做法：

setenforce 1

✅ 2. 使用最小权限原则

• 只给服务所需的最小 Context
• 不要随意给 unconfined_t

✅ 3. 日志排查

ausearch -m avc -ts recent

或

sealert -a /var/log/audit/audit.log

八、常见服务 Context 示例

九、总结（快速命令）

# 查看
ls -Z

# 永久设置
semanage fcontext -a -t httpd_sys_content_t "/data(/.*)?"
restorecon -Rv /data

# 端口
semanage port -a -t http_port_t -p tcp 8080

# 排查
ausearch -m avc

如果你有具体场景（如：
✅ Nginx + PHP
✅ Docker + SELinux
✅ CentOS 7 / 8 / Stream
✅ 某个目录访问被拒绝）

可以告诉我，我可以给你精准的 Context 配置方案。