36、使用SELinux CIL开发策略

使用SELinux CIL开发策略

1. 为域分配属性

在系统中，主参考策略定义了不少属性。我们可以为自己的域分配 daemon 属性，示例代码如下：

(typeattributeset cil_gen_require daemon)
(block pgpool
  (type domain)
  (typeattributeset .daemon domain)
)

通过分配 daemon 属性，所有现有的守护进程策略规则会自动应用到 pgpool.domain SELinux域。为了找出适合添加的属性，我们可以查看现有的守护进程域：

# seinfo -t postgresql_t -x

输出结果如下：

Types: 1
  type postgresql_t, nsswitch_domain, can_change_object_
identity, corenet_unlabeled_type, domain, kernel_system_state_
reader, netlabel_peer_type, daemon, syslog_client_type, pcmcia_
typeattr_1;

我们无需盲目添加所有属性，可以从有把握的属性开始。