33、处理新应用与使用参考策略

处理新应用与使用参考策略

1. 处理新应用

在处理新应用时，我们可以借助策略生成工具快速创建初始策略并按需调整。不过，策略生成工具通常局限于单一策略格式，如参考策略风格或 CIL 风格。管理员和组织应专注于一种风格，以降低新开发者和管理员的学习成本。

1.1 理解生成策略的局限性

策略生成器，如 udica 工具，通常有特定用途。udica 工具专注于生成新的容器 SELinux 域，仅适用于容器。生成的策略多为应用级策略，难以创建细粒度策略，定义类别范围的策略需要多个步骤，而生成器常采用单步生成。此外，大多数生成的策略仅支持 SELinux 内基于角色的访问控制，很少区分不同角色。同时，生成器对应用的运行方式存在假设，不能完全替代专业的 SELinux 策略开发团队。

1.2 sepolicy generate 介绍

sepolicy 命令可生成初始 SELinux 策略模块，管理员和开发者可进一步微调。它会利用系统资源（如发行版的包数据库）来确定要包含的资源，并生成多个 SELinux 策略文件。

sepolicy generate 支持多种应用类型：
| 应用类型 | 选项 | 描述 |
| — | — | — |
| 用户应用 | –application | 供终端用户启动和交互的应用 |
| 系统服务应用 | –init | 以守护进程模式运行或有自己用户的应用 |
| D - Bus 系统服务应用 | –dbus | 由 D - Bus 调用的服务 |
| 通用网关接口（CGI）脚本或应用 | –cgi | 使 CGI 应用在自己的域中运行