32、SELinux 中应用程序运行策略与管理

SELinux 中应用程序运行策略与管理

1. 无限制运行应用程序

在某些场景下，我们可能需要为特定的应用程序赋予更多的权限。例如，我们可以将特定的权限相关内容保存到文件中，然后使用 semodule -i 命令加载，之后 postgresql_t 域将被赋予与 unconfined_domain_type 属性相关的特权。

1.1 扩展无限制域

虽然无限制域仍然会受到一定的强制约束，但 SELinux 可能仍会阻止某些操作的发生。我们可以调整 SELinux 策略，为无限制域赋予更多的特权。默认的 unconfined_service_t 域几乎拥有所有可能的权限，但特定的域可能权限范围没有那么广泛。

为域添加更多特权的方法是为其分配适当的属性，这与在显式无限制域中运行守护进程的方法相同，根据需要添加更多属性。以下是一些重要的属性及其作用：
| 属性名称 | 作用 |
| — | — |
| files_unconfined_type | 允许域管理任何基于文件或文件系统的资源 |
| devices_unconfined_type | 允许域与任何设备资源进行交互和管理 |
| filesystem_unconfined_type | 允许域与所有文件系统进行交互和管理 |
| selinux_unconfined_type | 允许域与 SELinux 子