如何在 Fedora 14 上禁用 Apache httpd 的 SELinux？

Question 1

将我之前的评论转换成答案，以满足大众的需求；）

来自您每天学习一些东西的部门：我昨天看到 Dan Walsh 做了一个演讲，他在演讲中解释了在较新版本的 Fedora 和 EL6 中禁用应用程序限制的新方法。您不再设置布尔值来禁用转换（这有时会导致布尔值级联，需要设置布尔值才能使所有内容正常工作），而是将某种类型置于宽容模式。您可以通过运行“semanage permissive -a TYPE”命令（在您的例子中为“semanage permissive -a httpd_t”）来执行此操作。这会让 SELinux 对 httpd_t 保持打开状态，但处于宽容模式。– wzzrd 2011 年 5 月 20 日 8:45

Answer

将我之前的评论转换成答案，以满足大众的需求；）

来自您每天学习一些东西的部门：我昨天看到 Dan Walsh 做了一个演讲，他在演讲中解释了在较新版本的 Fedora 和 EL6 中禁用应用程序限制的新方法。您不再设置布尔值来禁用转换（这有时会导致布尔值级联，需要设置布尔值才能使所有内容正常工作），而是将某种类型置于宽容模式。您可以通过运行“semanage permissive -a TYPE”命令（在您的例子中为“semanage permissive -a httpd_t”）来执行此操作。这会让 SELinux 对 httpd_t 保持打开状态，但处于宽容模式。– wzzrd 2011 年 5 月 20 日 8:45

Question 2

对于 Fedora 14，就像在 el6 中一样，我认为你可以卸载 http SELinux 模块，方法是运行

semodule -r httpd

这可能会使 httpd 作为initrc_t或运行unconfined_t。

如果 F14 不起作用，您可以关闭 SELinux 布尔值（来自 el5 的“旧”方法），如下所示：

setsebool httpd_disable_trans 1

并使用

setsebool -P httpd_disable_trans 1

使之永久化

Answer

对于 Fedora 14，就像在 el6 中一样，我认为你可以卸载 http SELinux 模块，方法是运行

semodule -r httpd

这可能会使 httpd 作为initrc_t或运行unconfined_t。

如果 F14 不起作用，您可以关闭 SELinux 布尔值（来自 el5 的“旧”方法），如下所示：

setsebool httpd_disable_trans 1

并使用

setsebool -P httpd_disable_trans 1

使之永久化

Question 3

我不确定如何关闭单个服务的 SELinux - 我怀疑你不能。

但是您可以使用 runcon 将 apache 进程设置为在不受约束的上下文中运行。

您可以将 runcon 视为 selinux 的 sudoers。它允许您指定在什么上下文中运行进程。

您需要修改 apache 启动脚本，添加类似以下内容：

runcon unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

进入实际调用 apache 的 httpd 启动脚本部分。

在我的 Fedora FC14 主机上我将更改此行：

LANG=$HTTPD_LANG daemon --pidfile=${pidfile} $httpd $OPTIONS

阅读如下内容：

LANG=$HTTPD_LANG daemon --pidfile=${pidfile} runcon unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 $httpd $OPTIONS

PS 我实际上还没有在我的 apache 启动脚本中测试过这一点，所以上面只是猜测我需要把它放在哪里，但我之前肯定使用过 runcon 来允许进程不受约束地运行，所以它会起作用，你只需要找到正确的位置。

Answer