centos 7 虚拟化支持：
   1、更高性能的KVM内核虚拟化支持
   2、嵌套虚拟化支持，可以在KVM中安装配置OpenStack
   3、继续支持作为虚拟机的Xen技术，但不再支持作为寄主机的Xen技术
   4、加强了对VMWARE的技术支持，自带open-vm-tools替换vm-tools
   5、RHEL 7 容器型(单独运行空间，有独立的进程列表、网络、文件系统、其他应用等。)虚拟化：支持最热的技术Docker

系统及服务管理程序修改为Systemd
防火墙命令变为firewalld
服务控制相关命令变为systemctl


控制服务和守护进程:
systemd简介：
    系统服务和服务器进程由systemd系统和服务管理器进行管理
功能：
    1、并行化功能，提高系统的启动速度
    2、按需启动守护进程，而不需要单独的服务
    3、自动服务依赖关系管理，可以防止时间超时（例如：网络不可用时不启动网络服务）

systemctl命令用于管理各种类型的systemd对象（也叫单元）。

[root@xiao~]# systemctl -t help          //查看systemd对象
[root@xiao~]# systemctl                  //查询所有对象的状态
[root@xiao~]# systemctl --type=service   //仅查询服务对象的状态
[root@xiao ~]# systemctl  status  sshd   //查询指定服务的状态，如 SSH 
[root@xiao ~]# systemctl  is-active  sshd    //查看服务是不是正在运行 
[root@xiao ~]# systemctl  is-enabled  sshd   //查看服务是不是设置为了开机启动 
[root@xiao ~]# systemctl  enable  sshd       //设置服务开机自动运行 
[root@xiao ~]# systemctl  disable  sshd      //设置服务开机不自动启动 
[root@xiao ~]# systemctl  start | stop | restart  sshd   启动、关闭、重启服务 


权限掩码:
    当我们登录系统之后创建一个文件总是有一个默认权限的,是因为umask设置了用户创建文件的默认权限.
    umask设置的是权限"补码"，而chmod设置的是文件权限码。


总结：通过权限掩码为文件和目录设置默认权限。

例如：
目录：
[root@xiao ~]# umask 777
[root@xiao ~]# umask 
0777
[root@xiao ~]# mkdir /hehe
[root@xiao ~]# ll -d /hehe/
d---------. 2 root root 6 Jul  2 23:00 /hehe/

[root@xiao ~]# umask 000
[root@xiao ~]# mkdir /haha
[root@xiao ~]# ll -d /haha/
drwxrwxrwx. 2 root root 6 Jul  2 23:02 /haha/
 
文件：
[root@xiao ~]# umask 666
[root@xiao ~]# mkdir /xixi
[root@xiao ~]# ll -d /xixi/
d--x--x--x. 2 root root 6 Jul  2 23:04 /xixi/
[root@xiao ~]# touch /xixi/1.txt
[root@xiao ~]# ll -l /xixi/
----------. 1 root root 0 Jul  2 23:06 1.txt

[root@xiao ~]# umask 444
[root@xiao ~]# touch /xixi/2.txt
[root@xiao ~]# ll -l /xixi/
----------. 1 root root 0 Jul  2 23:07 1.txt
--w--w--w-. 1 root root 0 Jul  2 23:07 2.txt

方法：
umask是从权限中"拿走"相应的位。

注意：
对于文件来说，这个数字的最大值分别是6（原因文件创建时不能赋予执行权限）。
对于目录来说，这个数字的最大值分别是7。


调整服务优先级:
nice命令用来设置优先级，优先级的数值为-20~19，其中数值越小优先级越高，数值越大优先级越低，
-20的优先级最高，19的优先级最低。
需要注意的是普通用户只能在0～19之间调整应用程序的优先权值，只有超级用户有权调整更高的优先权值（从-20～19）。

当调整之后的优先级小于-20时，以优先级-20来运行；当调整之后的优先级大于19时，以优先级19来运行

[root@xiao ~]# nice -n 5 httpd

如果不指定值。默认优先级为0
[root@xiao ~]# nice  httpd


文件和目录的特殊权限:
设置特殊权限命令：chmod 

1、Set位权限
   1) suid(用户Set位权限)
     作用：拥有与所有者一样的权限（以拥有文件的用户身份，而不是以运行文件的用户身份执行文件）
          用S表示：S(大)：表示有r或w权限；s(小)： 表示有x权限。
     例如：chmod u+s    file.txt

   2) sgid(组Set位权限)
      作用：拥有与所有者一样的权限（以拥有文件的组身份，而不是以运行文件的组份执行文件）
            用S表示：S(大)：表示有r或w权限；s(小)： 表示有x权限。
      例如：chmod g+s    file.txt

2、粘滞位权限
    作用：仅文件的所有者（和root）可以删除目录中的文件    
    总结：针对目录，防删除目录中的文件。
    用T表示：T(大)：表示有r或w权限；t(小)： 表示有x权限。

3、facl访问控制列表
命令：
getfacl:查询
setfacl:设置

命令格式：
setfacl -m   u/g:hehe:rwx  /dir
         |        |    |     |
       设置      用户 权限  目录

setfacl 参数
  -m：设置后续acl参数 
  -x：删除后续acl参数  
  -b：删除全部的acl参数
  -k：删除默认的acl参数
  -R：递归设置acl，包括子目录
  -d：设置默认acl    
  
  
selinux设置:
SELinux是一个额外的系统安全层，目的是防止已遭泄露的系统服务访问用户数据。
基于用户/组/权限的安全模型称为自由决定的访问控制
基于对象并更加复杂的规则控制称为强制访问控制

要允许远程匿名访问ＷＥＢ服务器。必须打开防火墙端口，恶意人员则有机会通过安全漏洞***系统，继而取得用户和组的权限。
而SELinux是用于确定哪个进程可以访问那些文件、目录和端口的一组安全规则，
每个文件、进程和端口都具有特别的安全标签，称为SELinux上下文（是一个名称）。
SELinux策略使用上下文来确定某个进程能否访问文件、目录或端口，除非规则授予访问权限。
SELinux标签具有多种上下文：用户、角色、类型（和敏感度）。
目标策略会根据第三个上下文（即类型上下文）来制定自己的规则。类型上下文的名称通常以_t结尾。

1）system_u　指的是SElinux用户，root表示root账户身份，user_u表示普通用户无特权用户，system_u表示系统进程，通过用户可以确认身份类型，一般搭配角色使用。身份和不同的角色搭配时有权限不同，虽然可以使用su命令切换用户但对于SElinux的用户并没有发生改变，账户之间切换时此用户身份不变，在targeted策略环境下用户标识没有实质性作用。

2）object_r　一般为文件目录的角色、system_r一般为进程的角色，在targeted策略环境中用户的角色一般为system_r。用户的角色类似用户组的概念，不同的角色具有不同的身份权限，一个用户可以具备多个角色，但是同一时间只能使用一个角色。在targeted策略环境下角色没有实质作用，在targeted策略环境中所有的进程文件的角色都是system_r角色。

3）type　文件和进程都有一个类型，SElinux依据类型的相关组合来限制存取权限。

4)s0:[MLS、MCS]:MCS负责对同类进程进行彼此区分，而MLS则允许一种进程拥有指向另一种进程的支配权限。(也就是说：MLS与MCS非常相似，但它为强制机制添加了"支配"这一概念。MCS标签必须在完全匹配的情况下才能通过，但一条MLS标签可以支配另一条MLS标签从而获得访问许可。)


例如：
httpd_sys_content_t	//文件和目录的类型上下文
httpd_port_t		//端口的类型上下文
tmp_t			//位于/tmp中的文件和目录的类型上下文。

1、查看安全上下文：
[root@yuan ~]# id		//可以查看用户的上下文
[root@yuan ~]# ls -dZ /var/www/html/
[root@yuan ~]# ls -dZ /tmp
[root@yuan ~]# ps -axZ
[root@yuan ~]# ps -ZC httpd
 

2、查看并设置SELinux模式
enforcing	//强制模式
permissive	//许可模式
disabled	//禁用模式

[root@yuan ~]# sestatus -v		//查看SELinux状态

1)临时设置
[root@yuan ~]# getenforce 

[root@yuan ~]# setenforce 0/1 
注：
0  代表permissive（许可模式）
1  代表enforcing（强制模式）
2）永久设置
[root@yuan ~]# vim /etc/selinux/config 
修改
SELINUX=enforcing|permissive|disabled
[root@yuan ~]# reboot	//重启生效


3、修改SELinux上下文
1）使用chcon命令
[root@yuan ~]#mkdir /www
[root@yuan ~]#ls -dZ /www		//查看默认的类型上下文
[root@yuan ~]# chcon -t httpd_sys_content_t /www/
[root@yuan ~]# ls -dZ /www/
注意：
子级文件和目录会继承父级目录的上下文
使用chcon设置后，系统重启之后，将会还原为默认的上下文
2）使用restorecon命令
[root@yuan ~]# restorecon -v /www/		//查看默认上下文
[root@yuan ~]# restorecon /www/		//使用此命令来设置默认上下文
[root@yuan ~]# ls -dZ /www/
3）
[root@yuan ~]#mkdir /www
[root@yuan ~]#touch /www/1.txt
[root@yuan ~]#touch /www/2.txt
[root@yuan ~]#ll -Z /www/
[root@yuan ~]#mv /www/* /var/www/html/
[root@yuan ~]#ls -Z /var/www/html/
[root@yuan ~]#ls -dZ /var/www/html/
[root@yuan ~]#semanage fcontext -l
[root@yuan ~]#semanage fcontext -l  | grep "/var/www/html"

[root@yuan ~]#restorecon -Rv /var/www/html/	//设置上下文

[root@yuan ~]#  semanage fcontext -a -t httpd_sys_content_t '/www/html(/.*)?'    //通过正则表达式匹配。




4、修改SELinux布尔值
SELinux布尔值是更改SELinux策略行为的开关，SELinux布尔值通过启用和禁用规则，来调整策略。
1）查看布尔值
[root@yuan ~]#getsebool -a
[root@yuan ~]#getsebool -a | grep "ftpd"
2)设置布尔值
[root@yuan ~]#setsebool ftpd_anon_write on  	//临时生效
[root@yuan ~]#setsebool -P allow_ftpd_anon_write=1  //永久生效

例:
安装SELINUX的工具包
[root@yuan ~]# rpm -ivh /media/policycoreutils-newrole-1.33.12-14.8.el5.i386.rpm 
以搭建vsftpd服务器为例，使用selinux。
[root@yuan ~]# rpm -ivh /media/vsftpd-2.0.5-16.el5_4.1.i386.rpm 
[root@yuan ~]# vim /etc/vsftpd/vsftpd.conf 
[root@yuan ~]# service vsftpd restart
[root@yuan ~]# chmod 777 pub/
[root@yuan ~]# getsebool -a | grep ftp
[root@yuan ~]# setsebool -P allow_ftpd_anon_write=1
[root@yuan ~]# chcon -t public_content_rw_t /var/ftp/pub/

centos7图形配置:
1、图形配置IP : nmtui 
2、图形配置防火墙 : firewall-config 
3、查看SElinux安全上下文
    semanage fcontext -l
    semanage fcontext -l  | grep httpd_sys
    semanage fcontext -l  | grep httpd_sys_con