《SELinux 与 AppArmor：强制访问控制从原理到实战》

进程访问文件
   ↓
DAC 检查（rwx 位、UID/GID）——传统权限
   ↓ 通过
MAC 检查（SELinux 策略 / AppArmor profile）——强制策略
   ↓ 通过
内核放行

# 查看文件/进程的上下文
ls -Z /var/www/html/index.html
ps -eZ | grep httpd
# 查看当前模式
getenforce

# 查看与切换全局模式
getenforce
setenforce 0        # 切到 Permissive
setenforce 1        # 切回 Enforcing
# 永久修改（配置文件）
# /etc/selinux/config
SELINUX=enforcing
SELINUXTYPE=targeted

allow httpd_t httpd_sys_content_t:file { read getattr open };

# 列出所有布尔值
getsebool -a | grep httpd
# 查看某个布尔值
getsebool httpd_can_network_connect
# 临时开启
setsebool httpd_can_network_connect on
# 永久开启（-P）
setsebool -P httpd_can_network_connect on

# 常用布尔值示例
setsebool -P httpd_can_network_connect on        # 允许 httpd 发起网络连接
setsebool -P httpd_enable_homedirs on            # 允许访问用户家目录
setsebool -P samba_export_all_ro on              # Samba 只读导出
setsebool -P ftpd_full_access on                 # FTP 完整访问

# 临时修改（不推荐长期使用）
chcon -t httpd_sys_content_t /web/site/index.html
chcon -R -t httpd_sys_content_t /web/site/
# 参照某文件设置
chcon --reference=/var/www/html /web/site

# 登记目录规则（-a 添加，-t 类型，-e 等价路径）
semanage fcontext -a -t httpd_sys_content_t "/web/site(/.*)?"
# 查看已登记规则
semanage fcontext -l | grep /web/site
# 应用规则到现有文件（-R 递归，-v 显示变化）
restorecon -Rv /web/site

# 允许 httpd 监听 8080
semanage port -a -t http_port_t -p tcp 8080
# 修改已有端口类型
semanage port -m -t http_port_t -p tcp 8080
# 查看某类型可用的端口
semanage port -l | grep http_port_t

# 1. 确认是不是 SELinux 拦的
dmesg | grep -i 'avc: denied'
# 或查审计日志
ausearch -m avc -ts recent
# 2. 把最近的拒绝翻译成可读建议
ausearch -m avc -ts today | audit2allow
# 3. 生成策略模块
ausearch -m avc -ts today | audit2allow -M mypolicy
# 4. 编译并加载
semodule -i mypolicy.pp

module mypolicy 1.0;

require {
    type httpd_t;
    type var_log_t;
    class file { read open };
}

#============= httpd_t ==============
allow httpd_t var_log_t:file { read open };

# 只看解释（判断是否该用 boolean 而非新模块）
ausearch -m avc -ts today | audit2why

# 查看 AppArmor 状态
aa-status

# /etc/apparmor.d/usr.sbin.mysqld （节选）
/usr/sbin/mysqld {
  #include <abstractions/base>
  #include <abstractions/mysql>

  /usr/sbin/mysqld mr,
  /var/lib/mysql/ r,
  /var/lib/mysql/** rwk,
  /var/log/mysql/* rw,
  /run/mysqld/mysqld.sock rw,

  # 网络
  network inet stream,
  network inet6 stream,
  capability setuid,
  capability setgid,
}

# 加载/重载 profile
apparmor_parser -r /etc/apparmor.d/usr.sbin.mysqld
# 切换到 complain 模式（只记录不拦截，等价 permissive）
aa-complain /usr/sbin/mysqld
# 切回 enforce
aa-enforce /usr/sbin/mysqld
# 查看日志中的拒绝
dmesg | grep -i apparmor
journalctl -k | grep apparmor

# 关闭某一发行版的 MAC（仅演示，生产慎用）
# RHEL：
grubby --update-kernel ALL --args selinux=0
# Ubuntu：
aa-teardown
systemctl disable apparmor

# :z 共享标签（多容器可读），:Z 私有标签（仅本容器）
docker run -v /data:/data:z nginx
docker run -v /data:/data:Z nginx
# 指定自定义 SELinux 标签
docker run --security-opt label=type:my_container_t nginx

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
spec:
  containers:
    - name: app
      image: nginx
      securityContext:
        seLinuxOptions:
          level: "s0:c123,c456"
        seccompProfile:
          type: RuntimeDefault

# 1. 先看是不是 MAC 拦的
getenforce                          # SELinux
aa-status | head                    # AppArmor
dmesg | grep -iE 'avc: denied|apparmor' | tail
# 2. SELinux：查上下文是否匹配
ls -Z /path/to/resource
restorecon -Rv /path/to/resource
# 3. 查是否需要 boolean
ausearch -m avc -ts recent | audit2why
# 4. 查端口是否登记
semanage port -l | grep <port>

# 生成当前策略的差异报告
sepolicy generate --init /usr/local/bin/myapp
# 列出所有本地自定义模块
semodule -l | grep -v '^\(abrt\|accountsd\)'
# 审计：统计被拒绝最多的域
ausearch -m avc -ts this-week | audit2allow -M weekly