32、Linux安全增强：SELinux与AppArmor深度解析

Linux安全增强：SELinux与AppArmor深度解析

1. SELinux自定义策略模块创建

在使用SELinux时，有时仅通过更改类型或设置布尔值无法解决问题，这时就需要创建自定义策略模块，可借助 audit2allow 工具来完成。

1.1 示例问题

几年前，在CentOS 7上为客户设置Postfix邮件服务器时，SELinux不允许邮件服务器的邮件传递代理（MDA）组件Dovecot读取其自身的字典文件。既没有可更改的布尔值，也不存在类型问题，因此 setroubleshoot 建议创建自定义策略模块。

1.2 创建自定义策略模块步骤

1. 切换到root用户 ：该操作无法使用普通用户账户的 sudo 完成，需切换到root用户命令提示符，并进入root用户的主目录：

sudo su -

2. 设置SELinux为宽容模式 ：在操作前，将SELinux设置为宽容模式，然后执行一些操作引发SELinux错误，确保一个问题不会掩盖其他问题。
3. 创建新的策略模块 ：运行创建新策略模块的命令时，将 mypol 替换为自己选择的自定义策略名称。例如，将模块命名为 dovecot_dict