19、利用自动化工具与应用程序增强SELinux安全配置

利用自动化工具与应用程序增强SELinux安全配置

1. 使用Chef进行系统自动化

1.1 使用Chef为文件系统资源分配SELinux上下文

Chef对SELinux上下文的原生支持有限。当它被指示在节点上创建或修改文件时，会根据节点上现有的文件上下文定义重新标记这些文件。不过，我们可以订阅配方中定义的事件，并在事件发生时触发相应的操作。

例如，要显式设置目录的上下文，可以这样做：

execute 'set_selinux_custom_context' do
  command '/usr/bin/chcon -t usr_t /usr/share/selinux/custom'
  action :nothing
  subscribes :run, 'directory[/usr/share/selinux/custom]', 
:immediately
end

将上述代码添加到 recipes/default.rb 文件后，首先需要将更新后的食谱上传到服务器：

master ~$ knife cookbook upload packt_selinux

之后，我们可以在远程节点上重新运行 chef-client 来应用这个更新后的食谱。如果目录之前已经创建，由于订阅不会被触发，食谱将不会改变任何内容。

1.2 使用Chef加载自定义SELinux策略