12、使用文件上下文和进程域：SELinux的高级应用指南

使用文件上下文和进程域：SELinux的高级应用指南

1. 触发文件系统重新标记

在启动参数列表中添加 autorelabel=1 参数，可触发系统进行完整的文件系统重新标记操作。此操作耗时较久，完成后系统会再次重启，重新标记操作完成后，触摸文件将自动移除。

2. 使用 restorecond 自动设置上下文

restorecond 守护进程可应用上下文，其目的是将表达式列表规则应用到 /etc/selinux/restorecond.conf 文件中定义的可配置位置集。以下是 restorecond.conf 文件中配置位置的示例列表：
- /etc/services
- /etc/resolv.conf
- /etc/samba/secrets.tdb
- /root/.ssh/*

当进程创建的文件与上述路径匹配时，Linux inotify 子系统会通知 restorecond ， restorecond 会根据表达式列表重新标记文件，应用正确的标签，而不考虑创建文件的进程及其上下文。不过，由于 SELinux 引入了命名文件转换， restorecond 的使用需求已大幅减少。

3. 使用 tmpfiles