诊断并解决 SELinux 策略冲突

介绍

作为一名系统管理员，你负责维护 Linux 系统的安全性。其中一个核心环节是管理 SELinux（安全增强型 Linux），这是一种强制访问控制机制，用于执行安全策略。当一个进程尝试执行违反策略的操作时，SELinux 会拒绝该操作并记录一条访问向量缓存（AVC）拒绝日志。在本挑战中，你将学习如何使用标准的 RHEL 工具诊断并解决常见的 SELinux 策略冲突，这是 RHCSA 考试中的一项关键技能。

场景

你系统上的 Web 服务器本应提供用户主目录中的内容（例如来自 ~/public_html 目录）。然而，用户报告称他们的网页无法访问，并显示「Forbidden」错误。你怀疑这是一个 SELinux 问题。你的任务是调查 SELinux 日志，识别策略冲突，并应用正确的修复方案，使 Web 服务器能够按预期运行。

任务

调查系统的审计日志，查找最近的 SELinux AVC 拒绝记录。
分析拒绝消息，了解哪些操作被阻止，以及哪个 SELinux 布尔值（boolean）可以解决该问题。
修改相应的 SELinux 布尔值，允许 Web 服务器访问用户主目录。
确保策略更改是持久化的，以便在系统重启后依然有效。

要求

所有命令必须以 labex 用户身份运行。在需要管理权限的地方使用 sudo。
你需要修改的 SELinux 布尔值是 httpd_enable_homedirs。
更改必须持久化。

提示

使用 ausearch 命令查询审计日志。-m avc 选项用于过滤 AVC 消息。
密切关注 ausearch 的输出。它通常包含来自 setroubleshoot 的关于如何解决拒绝问题的建议。
setsebool 命令用于更改 SELinux 布尔值。使用 -P 标志使更改持久化。
你可以使用 getsebool 命令检查布尔值的当前值。

总结

在本挑战中，你学习了如何诊断和处理常规的 SELinux 策略冲突。你练习了使用 ausearch 检查审计日志中的 AVC 拒绝记录，通过解读输出识别根本原因，并使用 setsebool -P 应用持久化的策略更改。掌握这一工作流程对于管理 RHEL 系统的安全性至关重要，也是 RHCSA 考试中考核的基础技能。