无法打开“/root/CentOS-7-x86_64-Minimal-1611.iso”：权限被拒绝

Question 1

您还启用了 SELinux（这很好），但 ISO 的上下文也可能阻止 qemu 读取它。

尝试将 ISO 移动到/tmp.如果单个文件上下文合适，qemu 应该有权读取 /tmp 中的文件。

如果将 ISO 移动到后，qemu 仍然无法访问该 ISO /tmp，请检查的内容/var/log/audit/audit.log以查看其中是否记录了任何访问冲突。

例如，要查看 SELinux 上下文，将 ISO 移动到后/tmp，请使用ls -lZ /tmp/。

这不会告诉您程序访问文件的上下文应该是什么，但会显示当前的上下文。将此文件的其他文件（程序已经可以访问）的上下文进行比较应该可以帮助您缩小可以设置此文件的上下文的范围。

在这种情况下，只要 ISO 位于 qemu 有权访问的目录中，您就可以设置 ISO 的上下文，以便 qemu 可以读取它chcon -t virt_content_t <filename>.iso

Answer

您还启用了 SELinux（这很好），但 ISO 的上下文也可能阻止 qemu 读取它。

尝试将 ISO 移动到/tmp.如果单个文件上下文合适，qemu 应该有权读取 /tmp 中的文件。

如果将 ISO 移动到后，qemu 仍然无法访问该 ISO /tmp，请检查的内容/var/log/audit/audit.log以查看其中是否记录了任何访问冲突。

例如，要查看 SELinux 上下文，将 ISO 移动到后/tmp，请使用ls -lZ /tmp/。

这不会告诉您程序访问文件的上下文应该是什么，但会显示当前的上下文。将此文件的其他文件（程序已经可以访问）的上下文进行比较应该可以帮助您缩小可以设置此文件的上下文的范围。

在这种情况下，只要 ISO 位于 qemu 有权访问的目录中，您就可以设置 ISO 的上下文，以便 qemu 可以读取它chcon -t virt_content_t <filename>.iso

Question 2

目录 ,/root具有权限 ,0550以及所有者和组所有者 , root。它还有一个 SELinux 上下文，如.in所示dr-xr-x---.。只有组内的用户root才能读取和执行/root目录中的文件。此外，只要 SELinux 强制执行，错误的 SELinux 上下文就会阻止文件访问。换句话说，即使目录权限是0777（允许所有用户进行所有访问），qemu 用户也无法读取该文件，除非另外正确设置了 SELinux 上下文。用于ls -lZ显示 SELinux 上下文。以下是/root目录的默认结果。

dr-xr-x---. root root system_u:object_r:admin_home_t:s0 root

正如我们所看到的，admin_home_t不是virt_image_t或其他一些允许的 SELinux 上下文。

还有更多方法可以做到这一点，例如使用 FTP 或 Web 服务器，如下所示。

使用网络服务器

yum install -y httpd
systemctl enable httpd
mkdir /var/www/html/centos
mount -o loop centos.iso /mnt
cp -a /mnt/. /var/www/html/centos
chcon -R --reference=/var/www/html /var/www/html/centos
firewall-cmd --permanent --add-service=http
firewall-cmd --reload
systemctl restart httpd
umount /mnt

这样，使用-l http://x.x.x.x/pub/centos而不是--cdrom.

使用 FTP 服务器

yum install -y vsftpd
systemctl enable vsftpd
mkdir /var/ftp/pub/centos
mount -o loop centos.iso /mnt
cp -a /mnt/. /var/ftp/pub/centos
chcon -R -t public_content_t /var/ftp/
firewall-cmd --permanent --add-service=ftp
firewall-cmd --reload
systemctl restart vsftpd
umount /mnt

这样，使用-l ftp://x.x.x.x/pub/centos而不是--cdrom.

简而言之，只需更正权限和 SELinux 上下文，或者使用替代方法，其中两种方法如上所述。

Answer