如何创建自定义 SELinux 标签

Question

与跑步的起点

sepolgen /path/to/binary

这给你：

app.fc
app.sh
app.if
app.spec
app.te

要创建一个新的SELinux file context应用到保存程序/守护程序将修改的文件的父目录，请编辑 app.te 文件并添加：

type app_var_t;
files_type(app_var_t)

第一行声明新类型，第二行调用一个宏，该宏执行一些魔法并使其成为文件类型（事实证明您不能在文件或目录上使用进程上下文行 app_exec_t ），请参阅“重新审视 SELinux 类型”有关不同类型的更多信息

一旦你声明了类型，你需要告诉 SELinux 你的应用程序可以使用它，在我的例子中我添加了

allow app_t app_var_t:dir { add_name remove_name write search};
allow app_t app_var_t:file { unlink create open rename write read };

这两行基本上是说，允许作为我的应用程序域的 app_t 类型使用上下文写入/搜索/etc 目录，app_var_t并允许它使用上下文app_var_t 创建/打开/删除/etc 文件

难题的最后一部分是以某种方式告诉 SELinux 哪个文件夹和文件应该获取每种类型，您可以通过编辑文件来完成此操作app.fc（fc => 文件上下文）

在我的例子中，这个文件只有两行：

/srv/bot/app        --  gen_context(system_u:object_r:app_exec_t,s0)
/srv/bot(/.*)?          gen_context(system_u:object_r:app_var_t,s0)

第一行直接指向部署在我的服务器上的二进制文件，因此这一行获取 app_exec_t 上下文。

第二行的意思是：

将 app_var_t 应用于目录 /srv/bot 以及 dir /srv/bot 内的所有文件

请注意第一行在--路径和对的调用之间的关系gen_context。--意思是，仅将其应用于文件。在第二种情况下，我们没有任何东西（只是空格），这意味着，适用于所有匹配的目录和文件，这就是我想要的，另一个选择是必须-d仅应用目录。

我现在有了一个工作策略，我可以使用自定义策略部署我的应用程序，并且一切正常。（我的政策在文件中有更多条目.te，但它超出了这个问题的范围。）

帮助我找到这个解决方案的额外阅读材料：

Answer 1