selinux-denied

SELinux 拒绝的定位与修复

现象

服务启动或访问文件失败，ls -l 权限看起来正常，但 ausearch 里有 AVC denied。常见于自定义路径、非标准端口和容器挂载。

快速定位

getenforce
ausearch -m avc -ts recent
sealert -a /var/log/audit/audit.log
ls -Z /path/to/file
semanage fcontext -l | grep /path
semanage port -l | grep <port>
getsebool -a | grep <service>

常见根因

1. 文件/目录的 SELinux 上下文类型不正确。
2. 服务使用了非标准端口，端口没有打标签。
3. 需要的布尔值未开启。
4. 自定义应用缺少策略模块。
5. 容器挂载卷的上下文或 :z/:Z 选项不对。

修复

• 先确认是 SELinux 而不是普通权限：看 AVC 记录和 ls -Z。
• 自定义路径用 semanage fcontext -a -t <type> '/path(/.*)?'，再 restorecon -Rv /path。
• 非标准端口用 semanage port -a -t <type> -p tcp <port>。
• 按需开启布尔值：setsebool -P <bool> on。
• 复杂场景用 audit2allow 生成策略，审查后再安装。
• 不要把 setenforce 0 当长期方案；临时排障后要恢复 enforcing。

相关命令

• getenforce — 当前模式
• ausearch — AVC 日志
• semanage — 上下文与端口
• restorecon — 恢复默认上下文
• setsebool — 布尔值