我有两个 Centos 7 系统，它们应该是相同的（除了数据）。
我在服务器 A 上有一个服务器进程，该进程被拒绝对特定目录进行写访问。该拒绝显示为 SELinux 拒绝。
在服务器 B 上，同一服务没有被拒绝对同一目录的写访问权限。
我比较了两台服务器之间的文件权限、目录权限、ACL 和 SELinux 上下文，它们看起来完全相同 —— 除了 A 收到“拒绝”错误而 B 没有。
作为一种解决方法，我将 SELinux 设置为“Permissive”，现在 A 上的服务器进程可以写入目录。
此时，我实际上只是在寻找可以排除其他故障的想法；如果需要，我很乐意提供技术细节。我对 Linux 管理很有经验，但对 SELinux 却不太熟悉，所以现在我很困惑。
编辑--技术细节
我遇到问题的服务是 IPA。但实际上，与 IPA 捆绑在一起的 Apache 不允许写入 memcached 目录。具体来说，用户“apache”被拒绝对“/var/run/ipa_memcached/”进行写入访问。
以下是我运行的命令，这些命令在服务器之间返回的结果完全相同（PID 除外）。（这些命令以 root 身份运行，因此以“$”开头的行是命令，后面是输出）
$ semanage fcontext -l | grep memc
/var/run/memcached(/.*)? all files system_u:object_r:memcached_var_run_t:s0
/var/run/ipa_memcached(/.*)? all files system_u:object_r:memcached_var_run_t:s0
/usr/bin/memcached regular file system_u:object_r:memcached_exec_t:s0
/etc/rc\.d/init\.d/memcached regular file system_u:object_r:memcached_initrc_exec_t:s0
$ ls -ldZ /var/run/ipa_memcached/; ls -lZ /var/run/ipa_memcached/
drwx------. apache apache system_u:object_r:memcached_var_run_t:s0 /var/run/ipa_memcached/
srwx------. apache apache system_u:object_r:memcached_var_run_t:s0 ipa_memcached
-rw-r--r--. apache apache system_u:object_r:memcached_var_run_t:s0 ipa_memcached.pid
$ sudo -u apache id -Z
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
$ ps auxZ | grep http
system_u:system_r:httpd_t:s0 apache 12321 0.0 6.6 674224 124860 ? Sl 19:07 0:06 (wsgi:ipa) -DFOREGROUND
system_u:system_r:httpd_t:s0 apache 12322 0.0 1.3 324060 26040 ? S 19:07 0:00 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0 kdcproxy 12319 0.0 1.2 628032 23604 ? Sl 19:07 0:00 (wsgi:kdcproxy) -DFOREGROUND
system_u:system_r:httpd_t:s0 kdcproxy 12320 0.0 1.2 628032 23604 ? Sl 19:07 0:00 (wsgi:kdcproxy) -DFOREGROUND
system_u:system_r:httpd_t:s0 root 12314 0.0 1.3 298704 24652 ? Ss 19:07 0:00 /usr/sbin/httpd -DFOREGROUND
system_u:system_r:httpd_t:s0 root 12318 0.0 0.5 53880 11096 ? S 19:07 0:00 /usr/libexec/nss_pcache 4423694 off /etc/httpd/alias
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 root 17615 0.0 0.0 112648 972 pts/0 R+ 21:11 0:00 grep --color=auto http
$ find /var/run/ipa* | xargs getfacl
getfacl: Removing leading '/' from absolute path names
# file: var/run/ipa
# owner: root
# group: root
user::rwx
group::---
other::---
# file: var/run/ipa/services.list
# owner: root
# group: root
user::rw-
group::r--
other::r--
# file: var/run/ipa/renewal.lock
# owner: root
# group: root
user::rw-
group::---
other::---
# file: var/run/ipa_memcached
# owner: apache
# group: apache
user::rwx
group::---
other::---
# file: var/run/ipa_memcached/ipa_memcached.pid
# owner: apache
# group: apache
user::rw-
group::r--
other::r--
# file: var/run/ipa_memcached/ipa_memcached
# owner: apache
# group: apache
user::rwx
group::---
other::---
编辑发现问题
audit2why让我知道问题真正出在哪里
grep jsilverman /var/log/audit/audit.log* | grep denied| audit2why
...
/var/log/audit/audit.log.1:type=AVC msg=audit(1471293346.098:440365): avc: denied { create } for pid=13668 comm="httpd" name="krbcc_A_jsilverman" scontext=system_u:system_r:httpd_t:s0 tcontext=system_u:object_r:memcached_var_run_t:s0 tclass=file
Was caused by:
The boolean httpd_manage_ipa was set incorrectly.
Description:
Allow httpd to manage ipa
Allow access by executing:
# setsebool -P httpd_manage_ipa 1
... (and more, similar messages) ...
这导致比较 selinux 设置
服务器 A
$ getsebool -a| grep httpd_manage_ipa
httpd_manage_ipa --> off
服务器 B
$ getsebool -a| grep httpd_manage
httpd_manage_ipa --> on
那么，这怎么可能发生呢？另外，我如何从 B 到 A 克隆 selinux 设置？
答案1
无论如何都不是答案，但如果有的话，您认为 audit2why 或 audit2allow 的输出是什么？它们是否指定了可能需要更新以允许访问的模块？