selinux放行策略需在enforcing模式下精准授权，核心是调整类型、布尔值和文件上下文；通过sestatus/getenforce查看状态，getsebool/setsebool管理布尔值，chcon/semanage修复上下文，audit2allow生成最小权限策略模块。
SELinux 放行策略不是简单“关闭”或“开启”就能解决的问题，核心在于让 SELinux 在强制模式（enforcing）下，精准允许进程访问所需资源，同时不破坏安全边界。关键操作是调整类型（type）、布尔值（boolean）和文件上下文（context），而非绕过机制。
确认当前 SELinux 状态与模式
执行以下命令查看实时状态：
- sestatus：显示当前模式（enforcing/permissive/disabled）、策略类型（如 targeted）及是否启用
- getenforce：仅输出当前模式（Enforcing / Permissive / Disabled）
- ls -Z /path：查看文件或目录的 SELinux 上下文（user:role:type:level）
生产环境建议保持 enforcing 模式，用 permissive 模式临时排查问题（日志记录但不拦截）。
通过布尔值（Boolean）快速放行常见服务行为
SELinux 预置大量可开关的布尔值，用于控制服务的典型权限（如 httpd 是否能连接网络、读取用户家目录等）。无需改策略源码，适合运维快速调整：
- 列出所有布尔值及其状态：getsebool -a
- 查看某项（如允许 Samba 访问家目录）：getsebool samba_enable_home_dirs
- 临时开启（重启后失效）：setsebool samba_enable_home_dirs on
- 永久生效：setsebool -P samba_enable_home_dirs on
常用布尔值示例：httpd_can_network_connect（Apache 连外网）、postgresql_selinux_user_read（PostgreSQL 读用户数据）、allow_sudo_exec（sudo 执行脚本）。
修复文件/端口上下文，让服务合法访问资源
服务被拒常因目标文件或端口的 SELinux 类型不匹配。例如 Apache 无法读取 /var/www/html/custom，可能因该目录继承了错误的 type（如 default_t 而非 httpd_sys_content_t）：
- 临时修改目录类型：chcon -t httpd_sys_content_t /var/www/html/custom
- 永久生效（写入策略）：semanage fcontext -a -t httpd_sys_content_t "/var/www/html/custom(/.*)?"，再运行 restorecon -Rv /var/www/html/custom
- 为自定义端口打标（如让 nginx 监听 8081）：semanage port -a -t http_port_t -p tcp 8081
注意：semanage 命令需安装 policycoreutils-python-utils（RHEL/CentOS）或 policycoreutils-python-utils（Fedora）包。
从拒绝日志生成自定义策略模块（audit2allow）
当标准布尔值和上下文无法覆盖需求（如私有守护进程），可基于 audit 日志生成最小权限策略：
- 确保 auditd 运行，并复现一次被拒操作（如启动服务失败）
- 提取 AVC 拒绝记录：ausearch -m avc -ts recent | audit2why（解释原因）
- 生成可加载策略模块：ausearch -m avc -ts recent | audit2allow -M myapp_policy
- 安装模块：semodule -i myapp_policy.pp
生成的 .pp 文件只含必要规则，避免过度授权。建议先用 audit2allow -D 查看原始 .te 内容，人工审核逻辑后再编译。
SELinux 规则配置本质是“描述意图”而非“放开一切”，重点在理解进程域（domain）、目标类型（type）和策略接口（interface）。用对布尔值、修准上下文、审慎生成模块，就能在保障安全的前提下完成放行。
