21、SELinux 策略使用与分析指南

SELinux 策略使用与分析指南

1. SELinux 策略生成与应用

1.1 sepolicy generate 命令

对于应用程序， sepolicy generate 命令需要将主命令作为参数传递，用于生成简单的文件上下文（ .fc ）文件。此外， sepolicy generate 还支持以下与应用相关的模板：
- --application ：生成标准的命令行应用程序策略。
- --dbus ：生成 D - Bus 管理的应用程序策略。
- --inetd ：生成 inetd 操作的系统服务域（守护进程）策略。
- --init ：生成系统服务域（守护进程）策略。

1.2 替换现有策略

在添加自定义 SELinux 策略时，用户只能添加更多的允许规则，SELinux 没有用于从活动策略中移除当前允许访问规则的拒绝规则。如果当前策略过于宽松，管理员需要更新策略而不仅仅是增强它，这意味着管理员需要访问当前使用的 SELinux 策略规则。替换现有策略取决于 SELinux 用户空间实用程序（较新的版本支持基于优先级的加载）和当前策略的来源，下面介绍两种不同系统的替换方法。

1.2.1 替换 RHEL 策略

要替换活动的 Red Hat 策略，需要按以下步骤操作：
1. 确定当前 SELinux 策略版本 ：