由于 SELinux 问题，无法使用 Apache mod_cluster 在 Wildfly 10 域模式集群中启动 apache

Question 1

您的 audit2allow 输出包含一个有趣的注释，您应该读过：

#!!!! The file '/var/log/httpd/manager.node.nodes.lock' is mislabeled on your system.
#!!!! Fix with $ restorecon -R -v /var/log/httpd/manager.node.nodes.lock

我还猜测您的系统上还有更多标签错误的文件。我会自己递归地修复整个目录的标签。

restorecon -R -v /var/log/httpd

您还应确保系统是最新的，特别是已收到 SELinux 策略更新。

Answer

您的 audit2allow 输出包含一个有趣的注释，您应该读过：

#!!!! The file '/var/log/httpd/manager.node.nodes.lock' is mislabeled on your system.
#!!!! Fix with $ restorecon -R -v /var/log/httpd/manager.node.nodes.lock

我还猜测您的系统上还有更多标签错误的文件。我会自己递归地修复整个目录的标签。

restorecon -R -v /var/log/httpd

您还应确保系统是最新的，特别是已收到 SELinux 策略更新。

Question 2

这是使用来自的自动建议处理 selinux 拒绝的步骤audit2allow。

1）安装 selinux 策略相关软件包

# yum install -y checkpolicy \
               policycoreutils \
               policycoreutils-python

2) 使用 audit2allow 工具policycoreutils-python生成策略文件。您可以像这样检查它

# audit2allow -i /var/log/audit/audit.log -m my-httpd

它看起来像这样（具有适合您的应用程序的值）；

module my-httpd 1.0;

require {
        type var_log_t;
        type zabbix_var_run_t;
        type zabbix_t;
        type mysqld_t;
        class sock_file { create unlink };
        class unix_stream_socket connectto;
        class process setrlimit;
        class file open;
}

#============= mysqld_t ==============

#!!!! The file '/var/log/mysql/slow.log' is mislabeled on your system.
#!!!! Fix with $ restorecon -R -v /var/log/mysql/slow.log
allow mysqld_t var_log_t:file open;

#============= zabbix_t ==============
allow zabbix_t self:process setrlimit;

#!!!! The file '/run/zabbix/zabbix_server_preprocessing.sock' is mislabeled on your system.
#!!!! Fix with $ restorecon -R -v /run/zabbix/zabbix_server_preprocessing.sock
#!!!! This avc can be allowed using the boolean 'daemons_enable_cluster_mode'
allow zabbix_t self:unix_stream_socket connectto;
allow zabbix_t zabbix_var_run_t:sock_file { create unlink };

3）使用工具为您的特定应用程序生成自定义的selinux策略；

# ausearch -c 'httpd' --raw | audit2allow -M my-httpd

4）安装策略；

# semodule -i my-httpd.pp

有关创建策略文件的更多信息请参见此处；
https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security-enhanced_linux/sect-security-enhanced_linux-fixing_problems-allowing_access_audit2allow
和
https://danwalsh.livejournal.com/24750.html

Answer