SELinux 需要知道是否允许在运行时改变 SELinux 策略部分，而无需重写 SELinux 策略。例如，如果希望 httpd 去发送邮件，输入：# setsebool -P httpd_can_sendmail 1
SELinux 需要知道 SELinux 设置的关闭或打开的一系列布尔值：
查看所有的布尔值：# getsebool -a
查看每个布尔值的描述：# semanage boolean -l
设置某个布尔值：# setsebool [_boolean_] [1|0]
将它配置为永久值，添加 -P 标志。例如：# setsebool httpd_enable_ftp_server 1 -P
SELinux 策略/应用可能有 bug，包括：
不寻常的代码路径
配置
重定向 stdout
泄露的文件描述符
可执行内存
错误构建的库
开一个工单（但不要提交 Bugzilla 报告；使用 Bugzilla 没有对应的服务）
你的信息可能被损坏了，假如你被限制在某个区域，尝试这样做：
加载内核模块
关闭 SELinux 的强制模式
写入 etc_t/shadow_t
修改 iptables 规则
用于开发策略模块的 SELinux 工具：# yum -y install setroubleshoot setroubleshoot-server。安装完成之后重引导机器或重启 auditd 服务。
使用 journalctl 去列出所有与 setroubleshoot 相关的日志：# journalctl -t setroubleshoot --since=14:20
使用 journalctl 去列出所有与特定 SELinux 标签相关的日志。例如：# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0
当 SELinux 错误发生时，使用setroubleshoot 的日志，并尝试找到某些可能的解决方法。例如：从 journalctl 中：
Jun1419:41:07 web1 setroubleshoot:SELinuxis preventing httpd from getattr access on the file/var/www/html/index.html.For complete message run: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e
# sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e
SELinuxis preventing httpd from getattr access on the file/var/www/html/index.html.
*****Plugin restorecon (99.5 confidence) suggests ************************
If you want to fix the label,
/var/www/html/index.html default label should be httpd_syscontent_t.
Then you can restorecon.
Do
# /sbin/restorecon -v /var/www/html/index.html
日志：SELinux 记录的信息全在这些地方：
/var/log/messages
/var/log/audit/audit.log
/var/lib/setroubleshoot/setroubleshoot_database.xml
日志：在审计日志中查找 SELinux 错误：# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today
针对特定的服务，搜索 SELinux 的访问向量缓存Access Vector Cache（AVC）信息：# ausearch -m avc -c httpd
audit2allow 实用工具可以通过从日志中搜集有关被拒绝的操作，然后生成 SELinux 策略允许的规则，例如：
产生一个人类可读的关于为什么拒绝访问的描述：# audit2allow -w -a
查看允许被拒绝的类型强制规则：# audit2allow -a
创建一个自定义模块：# audit2allow -a -M mypolicy，其中 -M 选项将创建一个特定名称的强制类型文件（.te），并编译这个规则到一个策略包（.pp）中：mypolicy.pp mypolicy.te
安装自定义模块：# semodule -i mypolicy.pp
配置单个进程（域）运行在许可模式：# semanage permissive -a httpd_t
如果不再希望一个域在许可模式中：# semanage permissive -d httpd_t
禁用所有的许可域：# semodule -d permissivedomains
启用 SELinux MLS 策略：# yum install selinux-policy-mls。 在 /etc/selinux/config 中：
SELINUX=permissive
SELINUXTYPE=mls
确保 SELinux 运行在许可模式：# setenforce 0
使用 fixfiles 脚本来确保在下一次重启时文件将被重新标签化：# fixfiles -F onboot # reboot
创建一个带有特定 MLS 范围的用户：# useradd -Z staff_u john
使用 useradd 命令，映射新用户到一个已存在的 SELinux 用户（上面例子中是 staff_u）。
查看 SELinux 和 Linux 用户之间的映射：# semanage login -l
为用户定义一个指定的范围：# semanage login --modify --range s2:c100 john
调整用户家目录上的标签（如果需要的话）：# chcon -R -l s2:c100 /home/john
列出当前类别：# chcat -L
修改类别或者创建你自己的分类，修改如下文件：/etc/selinux/_<selinuxtype>_/setrans.conf
以某个特定的文件、角色和用户安全上下文来运行一个命令或者脚本：# runcon -t initrc_t -r system_r -u user_u yourcommandhere
-t 是文件安全上下文
-r 是角色安全上下文
-u 是用户安全上下文
在容器中禁用 SELinux：
使用 Podman：# podman run --security-opt label=disable ...
使用 Docker：# docker run --security-opt label=disable ...
如果需要给容器提供完全访问系统的权限：
使用 Podman：# podman run --privileged ...
使用 Docker：# docker run --privileged ...
就这些了，你已经知道了答案。因此请相信我：不用恐慌，去打开 SELinux 吧。
作者简介