云服务器初始化如何配置 SELinux 安全策略

云服务器初始化时SELinux配置核心是先确认状态再加固，不盲目关闭；主流云镜像默认enforcing模式，应保持启用并用semanage、restorecon等工具精准适配服务，禁用mls改用targeted策略。

云服务器初始化时配置 SELinux 安全策略，核心是“先确认状态、再按需加固、不盲目关闭”。多数主流云镜像（如阿里云、腾讯云 CentOS 7/8、Rocky Linux）默认启用 SELinux 且处于 enforcing 模式，这是安全基线，不应直接禁用。

确认当前 SELinux 状态与模式

登录后第一件事是检查实际运行状态：

1. getenforce —— 查看当前运行模式（Enforcing / Permissive / Disabled）
2. sestatus —— 查看详细状态，包括策略类型（targeted / mls）、启用状态、加载策略数等
3. ls -Z /etc/passwd —— 验证文件是否带有 SELinux 上下文标签（有输出即说明已生效）

初始化阶段推荐的 SELinux 配置原则

云环境强调最小权限与服务隔离，应避免“一刀切”关闭，而是聚焦关键服务适配：

1. 保持 SELINUX=enforcing 在 /etc/selinux/config 中，确保重启后持续生效
2. 若 Web 服务（如 Nginx/Apache）需访问非标准路径（如 /data/www），用 semanage fcontext 添加上下文规则，再用 restorecon -Rv 应用，而非简单 chmod 或 chcon 临时修复
3. 新增端口（如 Node.js 监听 3000）需用 semanage port -a -t http_port_t -p tcp 3000 放行，否则即使防火墙开放，SELinux 仍会拦截
4. 禁用 SELINUXTYPE=mls（多级安全），云服务器通常只需 targeted 策略（仅保护指定服务，开销低、兼容性好）

故障排查：服务启动失败时的 SELinux 快速响应

常见现象：Nginx 启动报 “Permission denied”，日志显示 AVC denied。此时不要立刻关 SELinux：

1. 先切到 setenforce 0 临时验证是否为 SELinux 导致（注意：仅用于测试，勿长期保持）
2. 执行 ausearch -m avc -ts recent | audit2why 分析拒绝原因
3. 用 audit2allow -a -M mynginx 生成自定义模块，再 semodule -i mynginx.pp 加载（比全局放宽更精准）
4. 恢复强制模式：setenforce 1

生产环境初始化后的必要检查项

完成基础配置后，建议验证以下三点：

1. SSH 密钥登录是否仍受 SELinux 保护（~/.ssh/authorized_keys 的 type 应为 ssh_home_t，可用 ls -Z ~/.ssh 查看）
2. 自定义脚本或 systemd 服务是否在正确 domain 下运行（ps auxZ | grep your_service）
3. 审计日志是否正常写入：sudo tail -n 10 /var/log/audit/audit.log | grep avc（Enforcing 模式下应有记录）