SELinux如何限制Linux用户权限

SELinux（Security-Enhanced Linux）是一种内核安全模块，它可以限制Linux用户的权限，以提供更细粒度的访问控制。以下是使用SELinux限制Linux用户权限的步骤：

1. 安装和启用SELinux

首先，确保你的Linux系统已经安装并启用了SELinux。大多数现代Linux发行版默认启用SELinux。

检查SELinux状态

sestatus

设置SELinux模式

你可以将SELinux设置为以下三种模式之一：

• Enforcing（强制模式）：SELinux策略强制执行。
• Permissive（宽容模式）：SELinux记录违规行为但不阻止它们。
• Disabled（禁用模式）：SELinux完全禁用。

设置SELinux模式：

setenforce 1  # 强制模式
setenforce 0  # 宽容模式

2. 配置SELinux策略

SELinux使用策略文件来定义哪些操作是允许的，哪些是被禁止的。你可以通过编辑这些策略文件来限制用户的权限。

查看当前策略

cat /etc/selinux/config

编辑策略文件

通常，策略文件位于 /etc/selinux/ 目录下。你可以使用 audit2allow 工具来生成自定义策略模块。

使用 audit2allow

1. 收集SELinux拒绝日志：

   ausearch -m avc -ts recent
   

2. 生成自定义策略模块：

   ausearch -m avc -ts recent | audit2allow -M mypol
   

3. 加载自定义策略模块：

   semodule -i mypol.pp
   

3. 使用SELinux用户映射

SELinux用户映射允许你将Linux用户映射到SELinux用户，从而限制这些用户的权限。

查看SELinux用户

getenforce
semanage login -l

添加SELinux用户映射

semanage login -a -s user_u -r user_r -d /home/username username

4. 使用SELinux文件上下文

SELinux文件上下文可以限制用户对文件的访问权限。

查看文件上下文

ls -Z /path/to/file

修改文件上下文

chcon user_home_t /path/to/file

5. 使用SELinux端口和网络访问控制

SELinux可以限制用户对特定端口的访问。

查看SELinux端口上下文

semanage port -l | grep http_port_t

添加端口上下文

semanage port -a -t http_port_t -p tcp 8080

6. 监控和审计

定期监控和审计SELinux日志，以确保策略的有效性并及时发现潜在的安全问题。

查看SELinux日志

cat /var/log/audit/audit.log | grep avc

通过以上步骤，你可以有效地使用SELinux来限制Linux用户的权限，提高系统的安全性。