setsebool

修改SElinux策略内各项规则的布尔值

补充说明

setsebool命令 是用来修改SElinux策略内各项规则的布尔值。setsebool命令和getsebool命令是SELinux修改和查询布尔值的一套工具组。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。

语法

1
setsebool [-P] 布尔值=[0|1]

选项

1
-P:直接将设置值写入配置文件，该设置数据将来会生效的。

实例

允许vsvtp匿名用户写入权限：

1
setsebool -P allow_ftpd_anon_write=1

如果你希望你的ftp用户可以访问自己的家目录的话，需要开启：

1
setsebool -P ftp_home_dir 1

如果你希望将vsftpd以daemon的方式运行的话，需要开启：

1
setsebool -P ftpd_is_daemon 1

你可以让SElinux停止保护vsftpd的daemon方式动行：

1
setsebool -P ftpd_disable_trans 1

HTTP被设置允许cgi的设置：

1
setsebool -P httpd_enable_cgi 1

允许用户HHTP访问其家目录，该设定限仅于用户的家目录主页：

1
2
setsebool -P httpd_enable_homedirs 1
chcon -R -t httpd_sys_content_t ~user/public_html

允许httpd访问终端：

1
setsebool -P httpd_tty_comm 1

关闭Selinux的关于httpd进程守护的保护：

1
2
setsebool -P httpd_disable_trans 1
service httpd restart

关于named、master更新selinux设定：

1
setsebool -P named_write_master_zones 1

关闭named的进程守护保护：

1
2
setsebool -P named_disable_trans 1
service named restart

Selinux将本机的NFS共享设置成只读：

1
setsebool -P nfs_export_all_ro 1

SElinux将本机的NFS共享设置成可读可写：

1
setsebool -P nfs_export_all_rw 1

如果你想要将远程NFS的家目录共享到本机，需要开启：

1
setsebool -P use_nfs_home_dirs 1

如果samba服务器共享目录给多个域，则需要：

1
setsebool -P allow_smbd_anon_write=1

samba服务器要共享家目录时：

1
setsebool -P samba_enable_home_dirs 1

如果你需在本机上使用远程samba服务器的家目录：

1
setsebool -P use_samba_home_dirs 1

关闭selinux关于samba的进程守护的保护：

1
2
setsebool -P smbd_disable_trans 1
service smb restart

允许rsync其他用户写入时：

1
setsebool -P allow_rsync_anon_write=1

停止rsync的进程保护

1
setsebool -P rsync_disable_trans 1

允许系统使用kerberos：

1
setsebool -P allow_kerberos 1

系统工作在nis环境时：

1
setsebool -P allow_ypbind 1

setpci

查询和配置PCI设备的使用工具

补充说明

setpci命令 是一个查询和配置PCI设备的使用工具。

语法

1
setpci(选项)(参数)

选项

1
2
3
4
5
-v：显示指令执行的细节信息；
-f：当没有任何操作需要完成时，不显示任何信息；
-D：测试模式，并不真正将配置信息写入寄存器；
-d：仅显示给定厂商和设备的信息；
-s：仅显示指定总线、插槽上的设备或设备上的功能块信息。

参数

  • PCI设备：指定要配置的PCI设备；
  • 操作：指定要完成的配置操作。

实例

Linux下调节笔记本屏幕亮度方法：

首先进入终端输入lspci命令，列出各种设备的地址：

1
2
3
4
5
6
7
8
lspci
00:00.0 host bridge: Intel Corporation Mobile 945GM/PM/GMS, 943/940GML and 945GT Express Memory Controller Hub (rev 03)
00:02.0 VGA compatible controller: Intel Corporation Mobile 945GM/GMS, 943/940GML Express Integrated Graphics Controller (rev 03)
00:02.1 Display controller: Intel Corporation Mobile 945GM/GMS/GME, 943/940GML Express Integrated Graphics Controller (rev 03)
00:1b.0 Audio device: Intel Corporation N10/ICH 7 Family High Definition Audio Controller (rev 02)
00:1c.0 PCI bridge: Intel Corporation N10/ICH 7 Family PCI Express Port 1 (rev 02)
00:1c.1 PCI bridge: Intel Corporation N10/ICH 7 Family PCI Express Port 2 (rev 02)
......

发现00:02.0是VGA设备，于是我们修改它的属性：

1
sudo setpci -s 00:02.0 F4.B=FF

解释一下：

  • setpci 是修改设备属性的命令。
  • -s 表示接下来输入的是设备的地址。
  • 00:02.0 VGA设备地址（<总线>:<接口>.<功能>）。
  • F4 要修改的属性的地址，这里应该表示“亮度”。
  • .B 修改的长度（B应该是字节（Byte），还有w（应该是Word，两个字节）、L（应该是Long，4个字节））。
  • =FF 要修改的值（可以改）。

我这里00是最暗，FF是最亮，不同的电脑可能不一样。比如说我嫌FF太闪眼了，我就可以：

1
sudo setpci -s 00:02.0 F4.B=CC

setfacl

设置文件访问控制列表

补充说明

setfacl命令 是用来在命令行里设置ACL（访问控制列表）。在命令行里，一系列的命令跟随以一系列的文件名。

选项

1
2
3
4
5
6
7
8
9
10
11
12
13
14
-b,--remove-all：删除所有扩展的acl规则，基本的acl规则(所有者，群组，其他）将被保留。
-k,--remove-default：删除缺省的acl规则。如果没有缺省规则，将不提示。
-n，--no-mask：不要重新计算有效权限。setfacl默认会重新计算ACL mask，除非mask被明确的制定。
--mask：重新计算有效权限，即使ACL mask被明确指定。
-d，--default：设定默认的acl规则。
--restore=file：从文件恢复备份的acl规则（这些文件可由getfacl -R产生）。通过这种机制可以恢复整个目录树的acl规则。此参数不能和除--test以外的任何参数一同执行。
--test：测试模式，不会改变任何文件的acl规则，操作后的acl规格将被列出。
-R，--recursive：递归的对所有文件及目录进行操作。
-L，--logical：跟踪符号链接，默认情况下只跟踪符号链接文件，跳过符号链接目录。
-P，--physical：跳过所有符号链接，包括符号链接文件。
--version：输出setfacl的版本号并退出。
--help：输出帮助信息。
--：标识命令行参数结束，其后的所有参数都将被认为是文件名
-：如果文件名是-，则setfacl将从标准输入读取文件名。
  • 选项-m和-x后边跟以acl规则。多条acl规则以逗号(,)隔开。选项-M和-X用来从文件或标准输入读取acl规则。
  • 选项--set和--set-file用来设置文件或目录的acl规则，先前的设定将被覆盖。
  • 选项-m(--modify)和-M(--modify-file)选项修改文件或目录的acl规则。
  • 选项-x(--remove)和-X(--remove-file)选项删除acl规则。

当使用-M，-X选项从文件中读取规则时，setfacl接受getfacl命令输出的格式。每行至少一条规则，以#开始的行将被视为注释。

当在不支持ACLs的文件系统上使用setfacl命令时，setfacl将修改文件权限位。如果acl规则并不完全匹配文件权限位，setfacl将会修改文件权限位使其尽可能的反应acl规则，并会向standard error发送错误消息，以大于0的状态返回。

权限

文件的所有者以及有CAP_FOWNER的用户进程可以设置一个文件的acl。（在目前的linux系统上，root用户是唯一有CAP_FOWNER能力的用户）

ACL规则

setfacl命令可以识别以下的规则格式：

1
2
3
4
[d[efault]:] [u[ser]:]uid [:perms]  指定用户的权限，文件所有者的权限（如果uid没有指定）。
[d[efault]:] g[roup]:gid [:perms]   指定群组的权限，文件所有群组的权限（如果gid未指定）
[d[efault]:] m[ask][:] [:perms]     有效权限掩码
[d[efault]:] o[ther] [:perms]       其他的权限

恰当的acl规则被用在修改和设定的操作中，对于uid和gid，可以指定一个数字，也可指定一个名字。perms域是一个代表各种权限的字母的组合：读-r写-w执行-x，执行只适合目录和一些可执行的文件。pers域也可设置为八进制格式。

自动创建的规则

最初的，文件目录仅包含3个基本的acl规则。为了使规则能正常执行，需要满足以下规则。

  • 3个基本规则不能被删除。
  • 任何一条包含指定的用户名或群组名的规则必须包含有效的权限组合。

  • 任何一条包含缺省规则的规则在使用时，缺省规则必须存在。

    ACL的名词定义

先来看看在ACL里面每一个名词的定义，这些名词我大多从man page上摘下来虽然有些枯燥,但是对于理解下面的内容还是很有帮助的。

ACL是由一系列的Access Entry所组成的，每一条Access Entry定义了特定的类别可以对文件拥有的操作权限。Access Entry有三个组成部分：Entry tag type, qualifier (optional), permission。

我们先来看一下最重要的Entry tag type，它有以下几个类型：

1
2
3
4
5
6
ACL_USER_OBJ：相当于Linux里file_owner的permission
ACL_USER：定义了额外的用户可以对此文件拥有的permission
ACL_GROUP_OBJ：相当于Linux里group的permission
ACL_GROUP：定义了额外的组可以对此文件拥有的permission
ACL_MASK：定义了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大权限 (这个我下面还会专门讨论)
ACL_OTHER：相当于Linux里other的permission

让我们来据个例子说明一下，下面我们就用getfacl命令来查看一个定义好了的ACL文件：

1
2
3
4
5
6
7
8
9
[root@localhost ~]# getfacl ./test.txt
# file: test.txt
# owner: root
# group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw- other::r--

前面三个以#开头的定义了文件名，file owner和group。这些信息没有太大的作用，接下来我们可以用--omit-header来省略掉。

1
2
3
4
5
6
user::rw-       定义了ACL_USER_OBJ, 说明file owner拥有read and write permission
user:john:rw-   定义了ACL_USER,这样用户john就拥有了对文件的读写权限,实现了我们一开始要达到的目的
group::rw-      定义了ACL_GROUP_OBJ,说明文件的group拥有read and write permission
group:dev:r--   定义了ACL_GROUP,使得dev组拥有了对文件的read permission
mask::rw-       定义了ACL_MASK的权限为read and write
other::r--      定义了ACL_OTHER的权限为read

从这里我们就可以看出ACL提供了我们可以定义特定用户和用户组的功能，那么接下来我们就来看一下如何设置一个文件的ACL：

如何设置ACL文件

首先我们还是要讲一下设置ACL文件的格式，从上面的例子中我们可以看到每一个Access Entry都是由三个被：号分隔开的字段所组成，第一个就是Entry tag type。

1
2
3
4
user   对应了ACL_USER_OBJ和ACL_USER
group  对应了ACL_GROUP_OBJ和ACL_GROUP
mask   对应了ACL_MASK
other  对应了ACL_OTHER

第二个字段称之为qualifier，也就是上面例子中的john和dev组，它定义了特定用户和拥护组对于文件的权限。这里我们也可以发现只有user和group才有qualifier，其他的都为空。第三个字段就是我们熟悉的permission了。它和Linux的permission一样定义，这里就不多讲了。

下面我们就来看一下怎么设置test.txt这个文件的ACL让它来达到我们上面的要求。

一开始文件没有ACL的额外属性：

1
2
3
4
5
[root@localhost ~]# ls -l
-rw-rw-r-- 1 root admin 0 Jul 3 22:06 test.txt

[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw- group::rw- other::r--

我们先让用户john拥有对test.txt文件的读写权限：

1
2
3
4
5
6
7
[root@localhost ~]# setfacl -m user:john:rw- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
mask::rw-
other::r--

这时我们就可以看到john用户在ACL里面已经拥有了对文件的读写权。这个时候如果我们查看一下linux的permission我们还会发现一个不一样的地方。

1
2
[root@localhost ~]# ls -l ./test.txt
-rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./test.txt

在文件permission的最后多了一个+号，当任何一个文件拥有了ACL_USER或者ACL_GROUP的值以后我们就可以称它为ACL文件，这个+号就是用来提示我们的。我们还可以发现当一个文件拥有了ACL_USER或者ACL_GROUP的值时ACL_MASK同时也会被定义。

接下来我们来设置dev组拥有read permission：

1
2
3
4
5
6
7
8
[root@localhost ~]# setfacl -m group:dev:r-- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--

到这里就完成了我们上面讲到的要求，是不是很简单呢。

ACL_MASK和Effective permission

这里需要重点讲一下ACL_MASK，因为这是掌握ACL的另一个关键，在Linux file permission里面大家都知道比如对于rw-rw-r--来说, 当中的那个rw-是指文件组的permission. 但是在ACL里面这种情况只是在ACL_MASK不存在的情况下成立。如果文件有ACL_MASK值，那么当中那个rw-代表的就是mask值而不再是group permission了。

让我们来看下面这个例子：

1
2
[root@localhost ~]# ls -l
-rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh

这里说明test.sh文件只有file owner: root拥有read, write, execute/search permission。admin组只有read and write permission，现在我们想让用户john也对test.sh具有和root一样的permission。

1
2
3
4
5
6
[root@localhost ~]# setfacl -m user:john:rwx ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx user:john:rwx
group::rw-
mask::rwx
other::r--

这里我们看到john已经拥有了rwx的permission，mask值也被设定为rwx，那是因为它规定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最大值，现在我们再来看test.sh的Linux permission，它已经变成了：

1
2
[root@localhost ~]# ls -l
-rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh

那么如果现在admin组的用户想要执行test.sh的程序会发生什么情况呢？它会被permission deny。原因在于实际上admin组的用户只有read and write permission，这里当中显示的rwx是ACL_MASK的值而不是group的permission。

所以从这里我们就可以知道，如果一个文件后面有+标记，我们都需要用getfacl来确认它的permission，以免发生混淆。

下面我们再来继续看一个例子，假如现在我们设置test.sh的mask为read only，那么admin组的用户还会有write permission吗？

1
2
3
4
5
6
7
[root@localhost ~]# setfacl -m mask::r-- ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx
user:john:rwx   #effective:r--
group::rw-      #effective:r--
mask::r--
other::r--

这时候我们可以看到ACL_USER和ACL_GROUP_OBJ旁边多了个#effective:r–，这是什么意思呢？让我们再来回顾一下ACL_MASK的定义。它规定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最大权限。那么在我们这个例子中他们的最大权限也就是read only。虽然我们这里给ACL_USER和ACL_GROUP_OBJ设置了其他权限，但是他们真正有效果的只有read权限。

这时我们再来查看test.sh的Linux file permission时它的group permission也会显示其mask的值(i.e. r–)

1
2
[root@localhost ~]# ls -l
-rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh

Default ACL

上面我们所有讲的都是Access ACL，也就是对文件而言。下面我简单讲一下Default ACL。Default ACL是指对于一个目录进行Default ACL设置，并且在此目录下建立的文件都将继承此目录的ACL。

同样我们来做一个试验说明，比如现在root用户建立了一个dir目录：

1
[root@localhost ~]# mkdir dir

他希望所有在此目录下建立的文件都可以被john用户所访问，那么我们就应该对dir目录设置Default ACL。

1
2
3
4
5
6
7
8
9
10
[root@localhost ~]# setfacl -d -m user:john:rw ./dir
[root@localhost ~]# getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x

这里我们可以看到ACL定义了default选项，john用户拥有了default的read, write, excute/search permission。所有没有定义的default都将从file permission里copy过来，现在root用户在dir下建立一个test.txt文件。

1
2
3
4
5
6
7
8
9
10
[root@localhost ~]# touch ./dir/test.txt
[root@localhost ~]# ls -l ./dir/test.txt
-rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./dir/test.txt

[root@localhost ~]# getfacl --omit-header ./dir/test.txt
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r--

这里我们看到在dir下建立的文件john用户自动就有了read and write permission，

ACL相关命令

前面的例子中我们都注意到了getfacl命令是用来读取文件的ACL，setfacl是用来设定文件的Acess ACL。这里还有一个chacl是用来改变文件和目录的Access ACL and Default ACL，它的具体参数大家可以去看man page。我只想提及一下chacl -B。它可以彻底删除文件或者目录的ACL属性(包括Default ACL)，比如你即使用了setfacl -x删除了所有文件的ACL属性，那个+号还是会出现在文件的末尾，所以正确的删除方法应该是用chacl -B用cp来复制文件的时候我们现在可以加上-p选项。这样在拷贝文件的时候也将拷贝文件的ACL属性，对于不能拷贝的ACL属性将给出警告。

mv命令将会默认地移动文件的ACL属性，同样如果操作不允许的情况下会给出警告。

需要注意的几点

如果你的文件系统不支持ACL的话，你也许需要重新mount你的file system：

1
mount -o remount, acl [mount point]

如果用chmod命令改变Linux file permission的时候相应的ACL值也会改变，反之改变ACL的值，相应的file permission也会改变。

set

显示或设置shell特性及shell变量

补充说明

set命令 作用主要是显示系统中已经存在的shell变量，以及设置shell变量的新变量值。使用set更改shell特性时，符号”+”和”-“的作用分别是打开和关闭指定的模式。set命令不能够定义新的shell变量。如果要定义新的变量，可以使用declare命令以变量名=值的格式进行定义即可。

语法

1
set(选项)(参数)

选项

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
-a：标示已修改的变量，以供输出至环境变量。
-b：使被中止的后台程序立刻回报执行状态。
-C：转向所产生的文件无法覆盖已存在的文件。
-d：Shell预设会用杂凑表记忆使用过的指令，以加速指令的执行。使用-d参数可取消。
-e：若指令传回值不等于0，则立即退出shell。
-f：取消使用通配符。
-h：自动记录函数的所在位置。
-H Shell：可利用"!"加<指令编号>的方式来执行history中记录的指令。
-k：指令所给的参数都会被视为此指令的环境变量。
-l：记录for循环的变量名称。
-m：使用监视模式。
-n：只读取指令，而不实际执行。
-p：启动优先顺序模式。
-P：启动-P参数后，执行指令时，会以实际的文件或目录来取代符号连接。
-t：执行完随后的指令，即退出shell。
-u：当执行时使用到未定义过的变量，则显示错误信息。
-v：显示shell所读取的输入值。
-x：执行指令后，会先显示该指令及所下的参数。

参数

取消某个set曾启动的参数。

实例

使用declare命令定义一个新的环境变量”mylove”，并且将其值设置为”Visual C++”，输入如下命令：

1
declare mylove='Visual C++'   #定义新环境变量

再使用set命令将新定义的变量输出为环境变量，输入如下命令：

1
set -a mylove                 #设置为环境变量

执行该命令后，将会新添加对应的环境变量。用户可以使用env命令和grep命令分别显示和搜索环境变量”mylove”，输入命令如下：

1
env | grep mylove             #显示环境变量值

此时，该命令执行后，将输出查询到的环境变量值。

sesearch

查询SELinux策略的规则详情

补充说明

使用seinfo命令可以查询SELinux的策略提供多少相关规则，如果查到的相关类型或者布尔值，想要知道详细规则时，使用 sesearch命令 查询。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。

语法

1
sesearch [-a] [-s 主体类型] [-t 目标类型] [-b 布尔值]

选项

1
2
3
-a:列出该类型或布尔值的所有相关信息
-t:后面还要接类型，例如 -t httpd_t
-b:后面还要接布尔值的规则，例如 -b httpd_enable_ftp_server

实例

找出目标文件资源类型为httpd_sys_content_t的有关信息：

1
sesearch -a -t httpd_sys_content_t

找出主体进程为httpd_t且目标文件类型为httpd相关的所有信息：

1
sesearch -s httpd_t -t httpd_* -a

查看布尔值httpd_enable_homedirs设置了多少规则

1
sesearch -b httpd_enable_homedirs -a

service

控制系统服务的实用工具

补充说明

service命令 是Redhat Linux兼容的发行版中用来控制系统服务的实用工具，它以启动、停止、重新启动和关闭系统服务，还可以显示所有系统服务的当前状态。

语法

1
service(选项)(参数)

选项

1
2
-h：显示帮助信息；
--status-all：显示所服务的状态。

参数

  • 服务名：自动要控制的服务名，即/etc/init.d目录下的脚本文件名；
  • 控制命令：系统服务脚本支持的控制命令。

实例

当修改了主机名、ip地址等信息时，经常需要把网络重启使之生效。

1
2
3
4
5
6
7
8
9
10
11
12
service network status
配置设备：
lo eth0
当前的活跃设备：
lo eth0

service network restart
正在关闭接口 eth0：                                        [  确定  ]
关闭环回接口：                                             [  确定  ]
设置网络参数：                                             [  确定  ]
弹出环回接口：                                             [  确定  ]
弹出界面 eth0：                                            [  确定  ]

重启mysql

1
2
3
4
5
6
service mysqld status
mysqld (pid 1638) 正在运行...

service mysqld restart
停止 MySQL：                                               [  确定  ]
启动 MySQL：                                               [  确定  ]

seq

以指定增量从首数开始打印数字到尾数

补充说明

seq命令 用于产生从某个数到另外一个数之间的所有整数。

语法

1
2
3
seq [选项]... 尾数
seq [选项]... 首数 尾数
seq [选项]... 首数 增量 尾数

选项

1
2
3
-f, --format=格式        使用printf 样式的浮点格式
-s, --separator=字符串   使用指定字符串分隔数字（默认使用：\n）
-w, --equal-width        在列前添加0 使得宽度相同

实例

-f选项：指定格式 

1
2
3
4
#seq -f"%3g" 9 11
9
10
11

%后面指定数字的位数 默认是%g，%3g那么数字位数不足部分是空格。

1
2
3
4
5
#sed -f"%03g" 9 11
#seq -f"str%03g" 9 11
str009
str010
str011

这样的话数字位数不足部分是0，%前面制定字符串。

-w选项：指定输出数字同宽 

1
2
3
4
5
seq -w 98 101
098
099
100
101

不能和-f一起用，输出是同宽的。

-s选项：指定分隔符（默认是回车） 

1
2
seq -s" " -f"str%03g" 9 11
str009 str010 str011

要指定/t做为分隔符号：

1
seq -s"`echo -e "/t"`" 9 11

指定\n作为分隔符号：

1
2
seq -s"`echo -e "\n"`" 9 11
19293949596979899910911

得到的是个错误结果，不过一般也没有这个必要，它默认的就是回车作为分隔符。

sendmail

著名电子邮件服务器

补充说明

sendmail命令 是一款著名的电子邮件传送代理程序，也就是平常说的电子邮件服务器，它基于标准的简单邮件传输协议（SMTP）。

语法

1
sendmail(选项)

选项

1
2
3
4
5
6
7
8
9
10
11
-bd：以守护进程方式运行指令；
-bD：以前台运行方式运行；
-bi：初始化别名数据库；
-bm：以常规发送电子邮件；
-bp：显示邮件的发送队列；
-C：指定配置文件；
-D：将调试的输出信息保存到日志文件，而不显示在标准输出设备上；
-F：指定邮件发送者全名；
-n：禁止使用邮件别名功能；
-f：指定发件人的名字；
-q：设置处理邮件队列中邮件的时间间隔。

semanage

默认目录的安全上下文查询与修改

补充说明

semanage命令 是用来查询与修改SELinux默认目录的安全上下文。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。

语法

1
2
semanage {login|user|port|interface|fcontext|translation} -l
semanage fcontext -{a|d|m} [-frst] file_spec

选项

1
2
3
4
5
-l：查询。
fcontext：主要用在安全上下文方面。
-a：增加，你可以增加一些目录的默认安全上下文类型设置。
-m：修改。
-d：删除。

实例

查询一下/var/www/html的默认安全性本文的设置：

1
2
3
4
5
semanage fcontext -l
SELinux fcontext    type          Context
....(前面省略)....
/var/www(/.*)?      all files     system_u:object_r:httpd_sys_content_t:s0
....(後面省略)....

如上面例子所示，我们可以查询的到每个目录的安全性本文！而目录的设定可以使用正则表达式去指定一个范围。那么如果我们想要增加某些自定义目录的安全性本文呢？举例来说，我想要色设置/srv/samba成为 public_content_t的类型时，应该如何设置呢？

用semanage命令设置/srv/samba目录的默认安全性本文为public_content_t：

1
2
3
mkdir /srv/samba
ll -Zd /srv/samba
drwxr-xr-x  root root root:object_r:var_t    /srv/samba

如上所示，默认的情况应该是var_t这个咚咚的！

1
2
3
4
5
6
7
semanage fcontext -l | grep '/srv'
/srv/.*                     all files   system_u:object_r:var_t:s0
/srv/([^/]*/)?ftp(/.*)?     all files   system_u:object_r:public_content_t:s0
/srv/([^/]*/)?www(/.*)?     all files   system_u:object_r:httpd_sys_content_t:s0
/srv/([^/]*/)?rsync(/.*)?   all files   system_u:object_r:public_content_t:s0
/srv/gallery2(/.*)?         all files   system_u:object_r:httpd_sys_content_t:s0
/srv                        directory   system_u:object_r:var_t:s0   //看这里！

上面则是默认的/srv底下的安全性本文资料，不过，并没有指定到/srv/samba。

1
2
3
semanage fcontext -a -t public_content_t "/srv/samba(/.*)?"
semanage fcontext -l | grep '/srv/samba'
/srv/samba(/.*)?            all files   system_u:object_r:public_content_t:s0
1
2
3
4
cat /etc/selinux/targeted/contexts/files/file_contexts.local
# This file is auto-generated by libsemanage
# Please use the semanage command to make changes
/srv/samba(/.*)?    system_u:object_r:public_content_t:s0  #写入这个档案
1
2
3
restorecon -Rv /srv/samba* #尝试恢复默认值
ll -Zd /srv/samba
drwxr-xr-x  root root system_u:object_r:public_content_t /srv/samba/  #有默认值，以后用restorecon命令来修改比较简单！

semanage命令的功能很多，这里主要用到的仅有fcontext这个选项的用法而已。如上所示，你可以使用semanage来查询所有的目录默认值，也能够使用它来增加默认值的设置！

seinfo

查询SELinux的策略提供多少相关规则

补充说明

seinfo命令 是用来查询SELinux的策略提供多少相关规则，一个主体进程能否读取到目标文件资源的重点是在于SELinux的策略以及策略内的各项规则，然后再通过该规则的定义去处理各项目标文件的安全上下文，尤其是“类型”部分。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。

语法

1
seinfo（选项）

选项

1
2
3
4
5
-A：列出SELinux的状态、规则布尔值、身份识别、角色、类型等所有信息。
-t：列出SELinux所有类型(type)的种类。
-r：列出SELinux所有角色(role)的种类。
-u：列出SELinux所有身份识别(user)的种类。
-b：列出所有规则的种类（布尔值）。

实例

列出与httpd有关的规则：

1
seinfo -b | grep httpd