Android SELinux

Google参考链接：https://source.android.com/docs/core/architecture/aidl/aidl-hals#sepolicy

A. 通信框架SE文件修改 public /attributes  vendor/hal_foo.te

B. server端SE文件修改 vendor/service.te  vendor/service_contexts(实例安全属性申明)

vendor/hal_foo_default.te（新建，配置server端进程的权限） vendor/file_contexts

C.client端SE文件修改

private/system_server.te

system侧进程安全策略配置放在private目录下

vendor侧进程安全策略配置放在vendor目录下

hal_attribute(xxx)	宏，定义hal服务相关的hal属性：hal_xxx, hal_xxx_client 和 hal_xxx_server 两种属性 当新的Hal（服务）类型创建时，需要添加对应的HAL attributes
属性定义方式	放public目录下  attribute hal_foo;   attribute hal_foo_client;   attribute hal_foo_server; 或者通过宏定义： hal_attribute(foo)
域domain	具有访问某类资源的集合，比如访问foo service，需要具备hal_foo_client属性。所有具有hal_foo_client权限的client端进程都同属一个域？
hal_foo_client	type示例，hal服务客户端属性.
hal_foo_server	示例，hal服务服务端属性。
hal_client_domain	宏，将domain域和（hal_xxx_client ）属性关联，system_server作为Hal服务客户端示例：hal_client_domain(system_server, hal_foo)
hal_server_domain	宏，将domain域和（hal_xxx_server ）属性关联，A HAL server关联域示例：hal_server_domain(my_hal_domain, hal_foo）
hal_foo	以上宏中，hal_foo实际不是sepolicy 对象，而是一个符号，通过它引用到hal_foo_client 和 hal_foo_server等属性.
hal_foo_server	hal层服务端，通过他来发现和注册对应的新的hal服务？
hal_foo_service	hal服务对应的新建类型，需要通过以下宏和相关属性关联： hal_attribute_service(hal_foo, hal_foo_service)。关联后，具有hal_foo_server属性的进程能注册到hal作为服务。具有hal_foo_client属性的进程能从hal层获取到服务
rules	The enforcement of these registration rules is done by the context manager (servicemanager) 这些注册规则是通过servicemanager强制保证的

所以，为一个服务添加完整的SELinux权限的过程是这样的：

    public/attributes:
    //1.属性定义 define hal_foo, hal_foo_client, hal_foo_server
    hal_attribute(foo)


    public/service.te
    //2.hal服务类型定义，逗号后表示继承 define hal_foo_service
    type hal_foo_service, hal_service_type, protected_service, service_manager_type


    public/hal_foo.te:
    //3.sepolicy定义 allow binder connection from client to server
    binder_call(hal_foo_client, hal_foo_server)
    binder_call(hal_foo_server, hal_foo_client) //服务回调到客户端要配

    //4.hal类型和服务关联
    // allow client to find the service, allow server to register the service
    hal_attribute_service(hal_foo, hal_foo_service)

    //5.允许hal服务通过binder连接service_manager 
    // allow binder communication from server to service_manager
    binder_use(hal_foo_server)
    //or以下?
    binder_call(hal_foo_server, servicemanager)
    binder_call(hal_foo_client, servicemanager)



    private/service_contexts:
    //6.将服务实例名和服务类型绑定 bind an AIDL service name to the selinux type
    android.hardware.foo.IFooXxxx/default u:object_r:hal_foo_service:s0


    private/<some_domain>.te:
    // let this domain use the hal service
    binder_use(some_domain)
    hal_client_domain(some_domain, hal_foo)

    vendor/<some_hal_server_domain>.te
    // let this domain serve the hal service
    hal_server_domain(some_hal_server_domain, hal_foo)

hal_attribute_service宏包括以下操作：

allow hal_foo_server hal_foo_service:service_manager {add find}

allow hal_foo_client hal_foo_service:service_manager {find}