Linux之SELinux

最新推荐文章于 2023-02-20 14:00:54 发布
最新推荐文章于 2023-02-20 14:00:54 发布
阅读量514 收藏
点赞数
分类专栏： linux 文章标签： linux SELinux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/XXJ19950917/article/details/82843110
版权

Linux之SELinux

  • SELinux这是维基百科的说明。

接触SELinux的原因

  • 在使用docker拉取gitlab镜像进行配置，在启动gitlab的时候出现了小插曲。启动gitlab的命令如下：
sudo docker run --detach \
--hostname 192.168.1.14 \
--publish 10443:443 --publish 10080:80 --publish 10022:22 \
--name gitlab \
--restart always \
--volume ~/gitlab/config:/etc/gitlab \
--volume ~/gitlab/logs:/var/log/gitlab \
--volume ~/gitlab/data:/var/opt/gitlab \
gitlab/gitlab-ce:latest
  • 然后出现一直无法创建成功的状态，通过docker logs -f gitlab查看日志发现如下图的错误效果：

error

  • cp: cannot create regular file '/etc/gitlab/gitlab.rb': Permission denied
  • 刚开始以为是用户权限问题，但是回想centos启动的时候就配置了一个root的超级用户权限，如下所示：
[root@localhost ~]# whoami
root
[root@localhost ~]#
  • 排除了用户权限的原因，就想到了SELinux的服务是否影响了docker的启动效果，所以开始尝试去关闭SELinux的服务。

SELinux服务

简介

  • SELinux带给Linux的主要价值是：提供了一个灵活的，可配置的MAC(Media Address Control)机制。
  • Security-Enhanced Linux(SELinux)由以下两部分组成:
    • Kernel SELinux模块(/kernel/security/selinux)
    • 用户态工具
  • SELinux是一个安全体系结构，它通过LSM(Linux Security Modules)框架被集成到Linux Kernel 2.6.x中。它是NSA(United States National Security Agency)和SELinux社区的联合项目。
  • SELinux提供了一种灵活的强制访问控制(MAC)系统，且内嵌于Linux Kernel中。SELinux定义了系统中每个用户、进程、应用和文件的访问和转变的权限，然后它使用一个安全策略来控制这些实体(用户、进程、应用和文件)之间的交互，安全策略指定如何严格或者宽松地进行检查。
  • SELinux对系统用户(system users)是透明的，只有系统管理员需要考虑在他的服务器中如何制定严格的策略。策略可以根据需要是严格或者是宽松的。
  • 只有同时满足了标准Linux访问控制和SELinux访问控制时，主题才能访问客体。

DAC和MAC的关键区别(root用户)

  • 安全增强型Linux(SELinux) 开始是由NSA(国家安全局)启动并加入到Linux系统中的一套核心组件及用户工具，可以让应用程序运行在其所需的最低权限上。未经修改过的Linux系统是使用自主访问控制的，用户可以自己请求更高的权限，由此恶意软件几乎可以访问任何它想访问的文件，而如果你授予其root权限，那它就无所不能了。
  • 在SELinux中没有root这个概念，安全策略是由管理员来定义的，任何软件都无法取代它。这意味着那些潜在的恶意软件所能造成的损害可以被控制在最小。一般情况下只有非常注重数据安全的企业级用户才会使用SELinux。
  • 操作系统有两类访问控制：自主访问控制(DAC) 和 强制访问控制(MAC)。标准Linux安全是一种DAC，SELinux为Linux增加了一个灵活的和可配置的MAC。
  • 所有DAC机制都有一个共同的弱点，就是它们不能识别自然人与计算机程序之间最基本的区别。简单点说就是，如果一个用户被授予允许访问，意味着程序也被授予访问，如果程序被授予访问，那么恶意程序也将有同样的访问权。DAC最根本的弱点是主体容易受到多种多样的恶意软件的攻击，MAC就是避免这些攻击的出路，大多数MAC特性组成了多层安全模型。
  • SELinux实现了一个更灵活的MAC形式，叫做类型强制(Type Enforcement)和一个非强制的多层安全形式(Multi-Level Security)。
  • 在Android4.2中，SELinux是个可选项，谷歌并没有直接取消root权限或者其他功能。这是一个为企业级用户或者是对隐私数据极为重视的用户提供的选项，普通消费者则完全可以关闭它。

SELinux的运行机制

  • SELinux决策过程如下图所示:

SELinux

  • 当一个subject(如: 一个应用)试图访问一个object(如: 一个文件)，Kernel中的策略执行服务器将检查AVC(Access Vertor Cache)，在AVC中，subject和object的权限被缓存(cached)。如果基于AVC中的数据不能做出决定，则请求安全服务器，安全服务器在一个矩阵中查找"应用+文件"的安全环境。然后根据查询结果允许或者拒绝访问，拒绝消息细节位于/var/log/messages中。

SELinux伪文件系统

  • /selinux/伪文件系统kernel子系统通常使用的命令，它类似于/proc伪文件系统。系统管理员和用户不需要操作这部分。/selinux/目录举例如下:
[root@localhost ~]# cd /sys/fs/selinux/
[root@localhost selinux]# ll
total 0
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 access
dr-xr-xr-x.  2 root root    0 Sep 25 10:09 avc
dr-xr-xr-x.  2 root root    0 Sep 25 10:09 booleans
-rw-r--r--.  1 root root    0 Sep 25 10:09 checkreqprot
dr-xr-xr-x. 99 root root    0 Sep 25 10:09 class
--w-------.  1 root root    0 Sep 25 10:09 commit_pending_bools
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 context
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 create
-r--r--r--.  1 root root    0 Sep 25 10:09 deny_unknown
--w-------.  1 root root    0 Sep 25 10:09 disable
-rw-r--r--.  1 root root    0 Sep 25 10:09 enforce
dr-xr-xr-x.  2 root root    0 Sep 25 10:09 initial_contexts
-rw-------.  1 root root    0 Sep 25 10:09 load
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 member
-r--r--r--.  1 root root    0 Sep 25 10:09 mls
crw-rw-rw-.  1 root root 1, 3 Sep 25 10:09 null
-r--r--r--.  1 root root    0 Sep 25 10:09 policy
dr-xr-xr-x.  2 root root    0 Sep 25 10:09 policy_capabilities
-r--r--r--.  1 root root    0 Sep 25 10:09 policyvers
-r--r--r--.  1 root root    0 Sep 25 10:09 reject_unknown
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 relabel
-r--r--r--.  1 root root    0 Sep 25 10:09 status
-rw-rw-rw-.  1 root root    0 Sep 25 10:09 user
[root@localhost selinux]#
  • 如cat enforce其值可能如下:
[root@localhost selinux]# cat enforce 
0
[root@localhost selinux]#
  • 1: enforcing mode
  • 0: permissive mode

SELinux配置文件

  • SELinux配置文件(configuration)或者策略文件(policy)位于/etc/目录下。

/etc/sysconfig/selinux配置文件

  • /etc/sysconfig/selinux是一个符号链接，真正的配置文件为: /etc/sysconfig/config
[root@localhost ~]# cd /etc/sysconfig/
[root@localhost sysconfig]# ll
...
lrwxrwxrwx. 1 root root   17 Sep 19 09:48 selinux -> ../selinux/config
...
[root@localhost sysconfig]#
  • 配置SELinux有如下两种方式:
    • 1、使用配置工具：Security Level Configuration Tool(system-config-selinux)
    • 2、编辑配置文件(/etc/sysconfig/selinux)
  • /etc/sysconfig/selinux中包含如下配置选项：
    • 1、打开或者关闭SELinux
    • 2、设置系统执行哪一个策略(policy)
    • 3、设置系统如何执行策略(policy)

配置文件选项

SELinux
  • SELINUX=enforcing|permissive|disabled —— 定义SELinux的高级状态
    • enforcing —— The SELinux security policy is enforced.
    • permissive —— The SELinux system prints warnings but does not enforce policy.
    • disabled —— SELinux is fully disabled. SELinux hooks are disengaged from the kernel and the pseudo-file system is unregistered.
SELINUXTYPE(安全策略)
  • SELINUXTYPE=targeted|strict —— 指定SELinux执行哪一个策略。
    • targeted —— 只有目标网络daemons保护。每个daemon是否执行策略，可通过system-config-selinux进行配置。保护常见的网络服务，为SELinux默认值。
前端Baymax
关注
专栏目录
Linux之SELinux的介绍以及用法
小橙子的笔记屋
04-22 1万+
一、SELinux简介 1、什么是SELinux： SELinux（security enhanced linux）安全增强型Linux系统，它是一个linux内核模块，也是Linux的一个安全子系统。 Selinux的主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则） 2、SELinux有两个级别： 强制、警告 setenforce 0 ：表示警告（Permissive） setenforce 1 ：表示强制（Enforcing） 3、SELinux相当于一个插件（内核级的插件） 4、S
Linux之selinux安全上下文
Ying_smile的博客
10-13 590
查看selinux安全上下文：ls -Z [root@localhost ~]# touch /var/ftp/hellohello 新建文件测试 [root@localhost ~]# ls /var/ftp/ 查看目录ftp中的内容 hellohello pub [root@localhost ~]# touch /mnt/haha1 [root@localhost ~]# mv /mnt/haha1 /var/ftp/haha1 #复制是新建的过程，移动是重命名的过程,文件系统权限和属性不会改
LINUX搭建gitlab（一次搞定）
我兜里有糖
01-26 859
1，安装gitlab （一）安装环境： （1）CentOS 6或者7 （此处使用7） （2）2G内存（实验）生产（至少4G），不然会很卡 （3）安装包：gitlab-ce-10.2.2-ce （4）禁用防火墙，关闭selinux （后期开启自己调防火墙权限） （二）安装软件： (1)安装依赖 [root@根目录~]# yum install -y curl policycoreutils-python openssh-server (2) 下载软件包 [root@根目录~]# w
GitLab 7.13.x安装和配置--Linux篇
weixin_33713503的博客
01-26 339
2019独角兽企业重金招聘Python工程师标准>>> ...
linux安装gitlab 配置文件,GitLab 7.13.x安装和配置--Linux篇
weixin_33964987的博客
05-04 271
阅读目录：1. 关闭防火墙和Selinux2. 安装依赖库3. 下载并安装GitLab 7.13.x版本4. 配置并启动GitLab5. 登录GitLab6. 重置root账户密码7.配置要求以及说明1. 关闭防火墙和SelinuxLinux的防火墙是咱们新手的噩梦，很多情况会出现能ping通，但是访问不了Web页面。所以开始就干掉它！1.1关闭防火墙[root@localhost ~]# /e...
SELinux配置文件（/etc/selinux/config）
chenhualeguan的专栏
02-06 3万+
转置：https://www.hao123.com/?tn=97977680_hao_pg SELinux配置文件/etc/selinux/config控制系统下一次启动过程中载入哪个策略，以及系统运行在哪个模式下，我们可以使用sestatus命令确定当前SELinux的状态，清单13-1显示了一个config文件的例子： 清单13-1./etc/selinux/config文件的内容
Linux搭建gitlab服务器
菲律宾铁猴子的博客
02-20 2360
linux上安装gitlab服务器并且修改默认密码
关闭selinux Linux之SELinux的开启、关闭
07-05
SELinux 是Security-Enhanced Linux 的简写，意指安全增强的linux。它不是⽤来防⽕墙设置的。但它对Linux系统的安全很有⽤。Linux内核 (Kernel) 从2.6就有了SELinux。 SELinux是内置在许多GNU / Linux 发⾏版中的...
linux之selinux
weixin_45674039的博客
10-29 174
什么是selinux > selinux是一种控制服务安全，是内核上面的一个插件，也叫做内核加强型火墙 SELinux(Security-Enhanced > Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统 > NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中...
linux之selinux强制访问控制
Ying_smile的博客
05-16 5128
selinux selinux是强制访问控制的一种策略，可以指明某一个进程访问哪些资源，在传统的linux中，一切皆文件，由用户、组和权限来控制访问，在selinux中，一切皆对象，由存放在扩展属性领域的安全元素控制访问，所有文件、端口、进程都具备安全上下文 selinux影响着：(1)程序访问文件(2)程序访问功能（微信）,进程本身功能，开关 查询selinux状态 命令：g...
Linux配置安装 gitlab及汉化详细教程
w_shimmer的博客
04-24 1718
gitlab 安装及汉化 GitLab简介： GitLab是一个用于仓库管理系统的开源项目。使用Git作为代码管理工具，并在此基础上搭建起来的Web服务。可通过Web界面进行访问公开的或者私人项目。它拥有GitHub类似的功能，能够浏览源代码，管理缺陷和注释。可以管理团队对仓库的访问，它非常易于浏览提交过的版本并提供一个文件历史库。团队成员可以利用内置的简单聊天程序（Wall）进行交流。它还提供了一个代码片段收集功能可以轻松实现代码复用。 常用的网站： 官网：https://about.gitlab.com
Gitlab安装使用及汉化配置
热门推荐
静静是我女朋友
05-22 4万+
一、GitLab简介 GitHub是2008年由Ruby on Rails编写而成，与业界闻名的Github类似;但要将代码上传到GitHub上面，而且将项目设为私有还要收费。GitLab 是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，可通过Web界面进行访问公开的或者私人项目，非常适合在团队内部使用。 在gitlab中有三个版本，分别是CE（社区版）、EE（企业版）、OM（R
centos7搭建gitlab（一）
komi的博客
06-16 5058
官方文档： https://about.gitlab.com/downloads/#centos7   1.安装和配置依赖： sudo yum install curl policycoreutils openssh-server openssh-clients sudo systemctl enable sshd sudo systemctl start sshd sudo yum i...
安装GITLAB
dingjiajia_949的专栏
06-09 2280
https://about.gitlab.com/installation  这边详细些对应系统的安装步骤，我装的是虚拟机centos  7 具体步骤如下： 1.安装配置必要的依赖   sudo yum install curl policycoreutils openssh-server openssh-clients sudo systemctl enable sshd sudo sy
system-config-selinux工具安装
zjc801的专栏
01-09 1800
system-config-selinux  工具包名称policycoreutils-gui yum install policycoreutils-gui
Linux下安装gitlab以及一些性能调优
weixin_43856535的博客
06-27 972
gitlab安装
Linux下GitLab的安装及使用
qq_42303254的博客
04-12 1万+
gitlab帮助文档：https://docs.gitlab.com/ee/README.html 一、初始GitLab GitLab是利用Ruby on Rails一个开源的版本管理系统，实现一个自托管的Git项目仓库，可通过Web界面进行访问公开的或者私人项目。 与Github类似，GitLab能够浏览源代码，管理缺陷和注释。可以管理团队对仓库的访问，它非常易于浏览提交...
etc/sysconfig/selinux与/etc/selinux/config 区别
啸风
10-14 2123
/etc/sysconfig/selinux与/etc/selinux/config 区别 修改的配置文件的时候，有时候也会进入到/etc/sysconfig/selinux，显示的内容跟/etc/selinux/config一样， 在查看/etc/sysconfig/selinux文件属性后，可以看出/etc/sysconfig/selinux是/etc/selinux/config的一个软件连...
Linux启用SELinux
最新发布
09-14
Linux Security Enhanced Linux (SELinux) 是一种强制访问控制（MAC）的安全模块，它增强了系统的安全性，通过将用户、进程和其他系统实体分配到安全上下文中（也称作“角色”），限制它们之间的交互。为了在Linux上启用SELinux，你需要按照以下步骤操作： 1. **安装SELinux**：如果你的系统已经预装了SELinux，可以直接跳到下一步；如果没有，可以使用包管理器如`yum`或`apt-get`安装，例如在CentOS/RHEL上：`sudo yum install selinux-policy-targeted`。 2. **配置SELinux状态**：检查当前状态，一般有`enforcing`, `permissive` 和 `disabled`三种模式。若需启用，可以修改 `/etc/selinux/config` 文件，将 `SELINUX=enforcing` 或 `SELINUX=permissive` 设置为 `SELINUX=enforcing`，然后重启系统使设置生效。 3. **启动并加载内核模块**：运行命令 `semodule -i` 来初始化SELinux，这会加载必要的内核模块。 4. **验证和设置文件系统权限**： SELinux 可能需要你对某些文件系统或目录设置额外的规则，使用 `chcon` 命令调整权限。 5. **管理策略模块**：SELinux 安全策略由一组二进制文件组成，可通过 `semanage` 工具创建、编辑和删除策略。 6. **审核和日志**：为了监控和调试SELinux，可以配置审计规则和设置日志记录，使用 `auditctl` 和 `setsebool` 命令。 注意，对于首次使用，建议先在非生产环境中测试和了解 SELinux 的影响，因为它可能会改变默认的行为。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值