VIP20

本课程属于：016-系统应用定制与模块边界 移动端与Android应用开发 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

SELinux策略调试与avc denied排错方法

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

SELinux基础与AVC拒绝现象识别

SELinux强制访问控制模型概述 · AVC拒绝典型症状（服务启动失败 · 文件访问被拒

audit日志采集与关键字段解析

ausearch -m avc命令使… · AVC日志字段详解（type · audit

audit日志采集

avc拒绝类型分类与判断规则

文件权限拒绝（read/write/… · 网络访问拒绝（tcp_socket/… · 信号与IPC拒绝（signal/ms…

avc拒绝类型分类

常见拒绝根因定位方法

策略缺失 · 布尔值关闭 · 文件/进程上下文错误

常见拒绝根因定位…策略缺失

SELinux布尔值排查与临时开关

getsebool -a查看当前布尔… · setsebool临时调试 · 布尔值影响范围分析

SELinux布尔值排查

文件上下文错误排查与修复

matchpathcon检查文件预期… · restorecon重置 · chcon临时修改

文件上下文错误排…修复

进程上下文异常分析与切换

ps -Z查看进程上下文 · runcon临时运行特定上下文 · systemd service指定C…

进程上下文异常分…切换

使用audit2allow生成策略模块

audit2allow -a -M… · 编译安装模块 · 验证模块是否生效

audit2allow使用

使用audit2why获取解释与建议

audit2why -a输出可读解释 · 识别缺失的allow规则 · 布尔值建议

audit2why使用

手动编写自定义策略模块

te文件结构（policy_modu… · require · allow

手动编写自定义策…te

dontaudit规则排查与临时禁用

dontaudit作用（抑制拒绝日志… · semodule -DB重建策略并禁… · 调试结束后恢复（semodule -…

dontaudit规则排查

网络相关AVC拒绝排查

tcp_socket/udp_soc… · 端口绑定vs连接 · 网络上下文（node

AVC网络相关

多服务间域转换与IPC拒绝

域转换（domain transit… · entrypoint与mcs属性 · 信号和ptrace拒绝排查

IPC多服务间域转换

布尔值细粒度调优与持久化

setsebool -P永久生效 · 布尔值依赖关系 · 结合audit2why推荐的布尔值

布尔值细粒度调优持久化

使用semanage管理用户映射

semanage login -l查… · 将用户映射到特定SELinux用户（… · staff_u

SELinux策略模块版本与加载顺序

semodule -l查看已加载模块 · 加载顺序依赖 · 冲突排查

SELinux策略模块版本

permissive模式与调试沙箱

setenforce 0临时进入pe… · 但拒绝日志仍产生 · permissive域（semana…

permissive模式

使用sealert图形化诊断

sealert -a /var/lo… · GUI控制台图形界面 · sealert报告中的修复命令示例

系统日志审计规则调整

auditctl配置审计规则减少噪音 · auditd.conf限制日志大小 · 避免日志丢失影响排查

系统日志审计规则…auditctl

SELinux策略调试常见陷阱

布尔值不生效（未持久化） · domtrans失败时pid变化 · dontaudit隐藏拒绝

SELinux策略调试常见陷阱

性能影响排查与优化

SELinux检查开销 · avc统计（avcstat命令） · 缓存刷新（selinuxfs）

性能影响排查优化

容器与虚拟化中的SELinux调试

docker run --secur… · KVM虚拟机上下文（svirt_t · svirt_image_t）

结合setroubleshootd实时监控

setroubleshootd服务自… · 配置邮件通知 · 自动修复提示

setroublesho…结合

跨节点NFS/Samba文件共享拒绝排查

NFS文件上下文（nfs_t） · Samba共享（smbd_t） · 远程挂载时的mcs/mls标签

NFS/Samba跨节点

SELinux策略调试脚本化

编写shell脚本自动收集日志（au… · audit2allow · sealert）

SELinux策略调试脚本化

Apache无法访问数据库：现象记录 · 收集日志 · 识别缺失的httpd_t -> my…

典型案例Apache

Nginx反向代理连接后端超时 · 网络连接拒绝 · node上下文检查

典型案例Nginx

自定义应用运行时拒绝 · 编写自定义策略模块 · 测试边界

典型案例自定义应用运行时…

预防方案与安全加固

定期审计AVC拒绝 · 使用SELinux策略测试工具集（r… · 最小权限原则

预防方案安全加固

问题排查型SELinux调试完整流程… · 常见错误速查表 · 备查命令清单

SELinux问题排查型