Linux Context如何备份恢复

Linux Context备份与恢复

一、概念与判断

• 在 Linux 运维中，“Context”通常指 SELinux 安全上下文（用户、角色、类型、级别），它决定进程对文件的访问权限。判断是否在讨论 SELinux：执行 ls -Z 能看到类似 unconfined_u:object_r:httpd_sys_content_t:s0 的标签；若是，则本文的方法适用。另有一类“文件系统上下文”（如 ext4 的 project/quota id），与 SELinux 不同，恢复方式也不同，需先明确类型再操作。

二、SELinux Context 的备份与恢复

• 备份策略与规则
  • 备份当前策略与自定义规则：策略可用 cp /etc/selinux/config /etc/selinux/config.bak 做配置级备份；自定义文件上下文规则建议导出：semanage fcontext -l > fcontext.rules.bak，必要时也备份本地自定义文件（如 /etc/selinux/targeted/contexts/files/file_contexts.local）。这些备份用于“规则级”恢复与审计。
• 备份文件与目录的上下文
  • 打包时保留 SELinux 上下文：使用 tar --preserve=context（或简写 -c）确保归档内保存 security.selinux 扩展属性。示例：tar czvf backup.tgz --preserve=context -C /var/www html/。这样在解包时无需额外修复即可恢复原有上下文。
• 恢复默认上下文
  • 目录/文件恢复为策略默认：使用 restorecon -Rv <path> 递归按策略重打标签；如需查看过程加 -v。示例：restorecon -Rv /var/www。适合大规模“误改/迁移后”统一修复。
• 精确校准或回滚
  • 按文件列表恢复：restorecon -f filelist.txt 从清单中逐条恢复，便于定点修复。
  • 手动指定类型：chcon -t httpd_sys_content_t /var/www/index.html 用于少量对象的快速修正（注意：手工修改可能被策略刷新覆盖，优先用 restorecon/semanage fcontext）。
• 策略与运行模式
  • 排查期可短时切为 Permissive：setenforce 0，验证无误后再 setenforce 1 回到 Enforcing，避免大面积阻断业务。
  • 若曾用 semanage fcontext 增删规则，恢复时先 semanage fcontext -l 核对，必要时编辑/移除自定义规则后，再 restorecon -Rv <path> 让默认策略重新生效。

三、文件系统 Context 的备份与恢复（project/quota ID 等）

• 这类“上下文”并非 SELinux，而是挂载选项/磁盘上的 project ID/配额标识。常规 tar 不会保存该信息，需使用能保留扩展属性的工具（如 tar --xattrs）并在相同文件系统/内核支持前提下恢复；更稳妥的做法是连同文件系统一起用 LVM 快照或 Clonezilla 整盘镜像做备份与回滚，避免跨文件系统迁移导致 project/quota 信息丢失。

四、实战流程与注意事项

• 标准流程
  1. 备份：策略与规则（semanage fcontext -l > fcontext.rules.bak）、关键配置（/etc/selinux/config）、数据（tar czvf backup.tgz --preserve=context <path>）。
  2. 恢复：先恢复数据归档，再 restorecon -Rv <path> 统一校准；若曾自定义规则，按备份的规则文件回滚后用 restorecon 生效。
  3. 验证：ls -Z <path> 抽样核对；服务侧观察是否恢复正常访问。
• 常见注意
  • 避免用普通 cp 覆盖目标，优先 tar --preserve=context 或 rsync -a（配合 --xattrs 若可用）；cp -a 默认只保留 mode/ownership/timestamp，不保证保留 SELinux 上下文。
  • 修复过程中如遇到访问拒绝，先用 setenforce 0 进入 Permissive 验证是否为 SELinux 导致，再回到 Enforcing 并修正上下文。
  • 若修改过 semanage fcontext 规则，恢复时以“规则备份 + restorecon”为主，避免手工 chcon 造成与策略不一致。