由于 unconfined_u 上下文，systemd 服务无法启动？

Question

毫不奇怪，SELinux 会阻止某个服务从没有上下文表明该服务是授权系统服务的目录中运行。

可执行文件所在的目录很可能需要有一个类似于以下内容的上下文：

system_u:object_r:bin_t

也许这就足够了：

# chcon -u system_u -r object_r -t bin_t /kite_agent

/var/log/audit/audit.log但建议发布相关消息。也许获得它们就像这样简单：

# grep kite /var/log.audit/audit.log

-或者-

# ausearch -m avc | grep kite

如果这些命令无效，请调查审核服务的配置和/或状态。

# systemctl status auditd
# cat /etc/audit/auditd.conf

如果auditd服务停止运行，请修复该问题。它可能很简单：

# systemctl start auditd

通过审计日志中的相关 AVC 消息，可以用来audit2allow从 SELinux 自身的角度获取如何解决问题的建议，但有时会有不同的建议。

https://opensource.com/article/18/7/sysadmin-guide-selinux提供了有关使用 SELinux 的各种简明技巧。从该页面开始，以下内容可能有助于解决标签问题（尽管更改了一些细节以预测此问题的实际答案）。需要注意的是，该片段忽略了上下文的其他部分，因此man semanage-fcontext可能也有帮助。 :

Labeling problem: If your files in /kite_agent are not labeled correctly, access might be denied. Here are some ways to fix this:
    If you know the label:
    # semanage fcontext -a -t bin_t '/kite_agent(/.*)?'
    If you know the file with the equivalent labeling:
    # semanage fcontext -a -e /kite_agent /path/to/dir
    Restore the context (for both cases):
    # restorecon -vR /kite_agent

考虑到/usr/sbin包含一些其他服务，这可能是合适的，但请确保它是：

# semanage fcontext -a -e /kite_agent /usr/sbin
# restorecon -vR /kite_agent

该页面还提供故障排除提示。当然，有更详细的文档，特别是在 RedHat 或 CentOS 站点上。

如果将 AVC 详细信息添加到问题中，也许会提供一些更具体的帮助。

Answer 1