Selinux 权限解决记录

原创

已于 2023-11-01 19:58:19 修改 · 2k 阅读

17 ·

CC 4.0 BY-SA版权

文章标签：

#linux #运维 #服务器

于 2023-11-01 19:24:42 首次发布

本文详细描述了解决Linux中SELinux权限问题的过程，涉及sysfs目录权限、wakelock权限调整以及针对特定属性如vendor_default_prop和sysfs_devices_block的权限设置，包括使用dac_override、修改scontext和tcontext以及genfs_contexts的调整。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在日常工作中曾经遇到过添加各种各种读取属性，文件节点无权限。setenforce 0 之后，操作正常的，就可以确认为selinux权限问题了，下面记录曾经遇到过的权限问题

1. 最简单的一类就是按照万能公式缺什么，加什么权限。加完权限，编译也没报错，替换后也解决问题的

type=1400 audit(1698809417.118:102): avc: denied { read write } for comm="HwBinder:245_1" name="wake_lock" dev="sysfs" ino=4980 scontext=u:r:tvhalserver:s0 tcontext=u:object_r:sysfs_wake_lock:s0 tclass=file permissive=1
type=1400 audit(1698809417.118:103): avc: denied { open } for comm="HwBinder:245_1" path="/sys/power/wake_lock" dev="sysfs" ino=4980 scontext=u:r:tvhalserver:s0 tcontext=u:object_r:sysfs_wake_lock:s0 tclass=file permissive=1

语法：rule_name source_type target_type : class perm_set**
万能公式：
缺少什么权限：{ read write open}权限
谁缺少权限：scontext=u:r:tvhalserver:s0
对谁缺少权限：tcontext=u:object_r:sysfs_wake_lock:s0
什么类型：tclass=file

+++ b/sepolicy/tvhalserver.te
@@ -183,4 +183,9 @@ allow tvhalserver hal_tv_earc_default:binder  { call };
 allow tvhalserver hal_tv_earc_default:file { getattr };
 allow tvhalserver userdata_file:dir { search read open getattr remove_name };
 allow tvhalserver userdata_file:file { write ioctl lock };
+allow tvhalserver sysfs_wake_lock:file { open read write };

2.1 dac_override 添加权限后，编译出现never allow 的。比如下面这个

type=1400 audit(1698809417.118:101): avc: denied { dac_override } for comm="HwBinder:245_1" capability=1 scontext=u:r:tvhalserver:s0 tcontext=u:r:tvhalserver:s0 tclass=capability permissive=1

+++ b/sepolicy/tvhalserver.te
@@ -190,4 +190,6 @@ allow tvhalserver powerctl_prop:property_service { set };
 allow tvhalserver hal_power_default:dir { search };
+allow tvhalserver tvhalserver:capability { dac_override };

编译的时候会出现nerverallow 报错：