8、深入理解SELinux安全管理：文件上下文与策略布尔值控制

深入理解SELinux安全管理：文件上下文与策略布尔值控制

1. 控制SELinux文件上下文

1.1 初始SELinux上下文

所有资源（如进程、文件和端口）都会被标记上SELinux上下文。SELinux在 /etc/selinux/targeted/contexts/files/ 目录中维护一个基于文件的文件标记策略数据库。当新文件的名称与现有标记策略匹配时，它会获得默认标签；若不匹配，则继承其父目录的标签。

文件创建位置和操作会影响其SELinux上下文：
- 在有现有标记策略的默认位置或自定义位置创建文件，新文件会被正确标记。
- 若在无现有标记策略的意外位置创建文件，继承的标签可能不适合新文件的预期用途。
- 复制文件到新位置可能会改变其SELinux上下文，新上下文由新位置的标记策略或父目录继承决定。可使用 cp -p 保留所有文件属性， cp -c 仅保留SELinux上下文。
- 移动文件通常不会创建新的inode（同一文件系统内），除非使用 -Z 选项设置新上下文，否则文件会保留其SELinux上下文。

示例：

# 在/tmp目录创建两个文件
[root@host ~]# touch /tmp/file1 /tmp/file2
[root@host ~]# ls -Z /tmp/file*
unconfined_u:object_r:user_tmp_t:s0 /tmp/file1
unconfined