Linux命令semanage详解（SELinux 策略管理）

semanage {对象} {操作} [选项]
# 管理端口
semanage port -a -t http_port_t -p tcp 8080
# 管理文件上下文
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 管理布尔值（永久）
semanage boolean -m --on httpd_can_network_connect
# 查看所有端口定义
semanage port -l

# Debian/Ubuntu
sudo apt update
sudo apt install policycoreutils-python-utils
# RHEL/CentOS
sudo yum install policycoreutils-python
# Fedora
sudo dnf install policycoreutils-python-utils
# 验证安装
which semanage

# === 查看当前文件上下文规则 ===
semanage fcontext -l | grep httpd
# === 添加新的文件上下文规则 ===
# 示例：让 Nginx 可以读取 /web 目录
sudo semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 参数说明：
# -a : 添加（add）
# -t : 类型（type）
# -s : 用户（user）
# -r : 角色（role）
# "/web(/.*)?" ：正则表达式，匹配 /web 及其所有子内容
# === 应用新的上下文规则 ===
# 添加规则后，需要使用 restorecon 应用
sudo restorecon -Rv /web/
# === 删除文件上下文规则 ===
sudo semanage fcontext -d "/web(/.*)?"
# === 修改现有规则 ===
sudo semanage fcontext -m -t var_log_t "/var/log/myapp(/.*)?"

# === 查看当前端口定义 ===
semanage port -l
# 按类型过滤
semanage port -l | grep http
# === 添加端口定义 ===
# 示例：让 Apache 监听 8080 端口
sudo semanage port -a -t http_port_t -p tcp 8080
# 参数说明：
# -a : 添加
# -t : SELinux 类型
# -p : 协议（tcp/udp）
# 8080 : 端口号
# === 添加端口范围 ===
sudo semanage port -a -t http_port_t -p tcp 8080-8090
# === 删除端口定义 ===
sudo semanage port -d -t http_port_t -p tcp 8080
# === 修改端口定义 ===
sudo semanage port -m -t http_port_t -p tcp 8080

# === 查看所有布尔值 ===
semanage boolean -l
# 查看当前值
getsebool -a
# === 永久修改布尔值 ===
# 方法1：使用 semanage（推荐）
sudo semanage boolean -m --on httpd_can_network_connect
sudo semanage boolean -m --off httpd_can_network_connect
# 方法2：使用 setsebool -P（等效）
sudo setsebool -P httpd_can_network_connect on
# === 临时修改布尔值（重启后失效）===
sudo setsebool httpd_can_network_connect on
# === 常用布尔值 ===
# 允许 HTTP 服务连接网络
setsebool -P httpd_can_network_connect on
# 允许 HTTP 服务访问用户目录
setsebool -P httpd_enable_homedirs on
# 允许 FTP 服务访问用户目录
setsebool -P ftp_home_dir on
# 允许 Samba 服务访问用户目录
setsebool -P samba_enable_home_dirs on

# === 查看 SELinux 用户 ===
semanage user -l
# === 创建 SELinux 用户 ===
sudo semanage user -a -R "staff_r sysadm_r" -P "MCS" myuser_u
# === 修改 SELinux 用户 ===
sudo semanage user -m -R "staff_r sysadm_r" myuser_u
# === 删除 SELinux 用户 ===
sudo semanage user -d myuser_u
# === 将 Linux 用户映射到 SELinux 用户 ===
sudo semanage login -a -s myuser_u username

# === 查看角色 ===
semanage role -l
# === 添加角色 ===
sudo semanage role -a -t httpd_t httpd_sysadm_r
# === 删除角色 ===
sudo semanage role -d httpd_sysadm_r

# === 场景1：让 Apache 监听非标准端口 ===
# 1. 添加端口定义
sudo semanage port -a -t http_port_t -p tcp 8080
# 2. 修改 Apache 配置
sudo vim /etc/httpd/conf/httpd.conf
# 修改：Listen 8080
# 3. 重启 Apache
sudo systemctl restart httpd
# === 场景2：让 Nginx 访问非标准目录 ===
# 1. 添加文件上下文规则
sudo semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 2. 应用规则
sudo restorecon -Rv /web/
# 3. 验证
ls -Zd /web/
# === 场景3：让 Samba 共享非标准目录 ===
# 1. 添加文件上下文规则
sudo semanage fcontext -a -t samba_share_t "/shared(/.*)?"
# 2. 应用规则
sudo restorecon -Rv /shared/
# 3. 设置布尔值
sudo setsebool -P samba_enable_home_dirs on

# === 查看已加载模块 ===
semanage module -l
# === 启用模块 ===
sudo semanage module -e module_name
# === 禁用模块 ===
sudo semanage module -d module_name
# === 安装自定义模块 ===
# 编译 .te 文件为 .mod
checkmodule -M -m my_policy.te -o my_policy.mod
# 打包为 .pp
semodule_package -o my_policy.pp -m my_policy.mod
# 安装模块
sudo semodule -i my_policy.pp

# 问题1：semanage 命令找不到
# 解决：安装 policycoreutils-python-utils
sudo apt install policycoreutils-python-utils
# 问题2：修改不生效
# 原因：没有使用 restorecon 应用
# 解决：
sudo restorecon -Rv /path/
# 问题3：端口定义冲突
# 查看端口是否已被其他类型使用
semanage port -l | grep 8080
# 如果冲突，先删除旧的
sudo semanage port -d -t old_type -p tcp 8080
# 问题4：文件上下文规则不生效
# 验证正则表达式是否正确
echo "/web/test.txt" | grep -E "^/web(/.*)?$"

┌─────────────────────────────────────────────┐
│  命令       │ 作用范围   │ 持久性     │ 推荐度      │
├─────────────────────────────────────────────┤
│  chcon     │ 当前文件   │ 不持久     │  ⚠️ 临时   │
│  restorecon │ 当前文件   │ 依赖策略   │  ✅ 恢复   │
│  semanage  │ 策略数据库 │ 持久       │  ✅ 永久   │
└─────────────────────────────────────────────┘