Linux命令semanage详解（SELinux策略管理）

快速参考

如果你在Linux系统上遇到过SELinux，那大概率对semanage并不陌生。坦白说，它和chcon、restorecon这两个“兄弟”工具最大的区别在于：semanage是直接修改策略数据库，而chcon只是临时调整，restorecon则是恢复默认值。换句话说，semanage做的改动是“永久”的——哪怕你重新标记整个文件系统，它依然有效。它能管理的东西也很全面：端口、文件上下文、用户、角色、布尔值，几乎覆盖了SELinux策略的方方面面。

核心概念：semanage 修改的是 策略规则，这些规则决定了 restorecon 的行为。也就是说，你改的是“底牌”，而restorecon只是按这张底牌出牌。

基本语法

semanage {对象} {操作} [选项]
# 管理端口
semanage port -a -t http_port_t -p tcp 8080
# 管理文件上下文
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 管理布尔值（永久）
semanage boolean -m --on httpd_can_network_connect
# 查看所有端口定义
semanage port -l

安装 semanage

# Debian/Ubuntu
sudo apt update
sudo apt install policycoreutils-python-utils
# RHEL/CentOS
sudo yum install policycoreutils-python
# Fedora
sudo dnf install policycoreutils-python-utils
# 验证安装
which semanage

管理文件安全上下文（fcontext）

实际使用中，最常用的功能之一就是管理文件上下文。比如你让Nginx访问一个非标准目录，那就得先给它“打标签”。

# === 查看当前文件上下文规则 ===
semanage fcontext -l | grep httpd
# === 添加新的文件上下文规则 ===
# 示例：让 Nginx 可以读取 /web 目录
sudo semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 参数说明：
# -a : 添加（add）
# -t : 类型（type）
# -s : 用户（user）
# -r : 角色（role）
# "/web(/.*)?" ：正则表达式，匹配 /web 及其所有子内容
# === 应用新的上下文规则 ===
# 添加规则后，需要使用 restorecon 应用
sudo restorecon -Rv /web/
# === 删除文件上下文规则 ===
sudo semanage fcontext -d "/web(/.*)?"
# === 修改现有规则 ===
sudo semanage fcontext -m -t var_log_t "/var/log/myapp(/.*)?"

管理端口（port）

端口管理是另一个高频场景，特别是当你的服务需要监听非标准端口时。比如让Apache乖乖听8080端口的指令，就得先通过semanage port给它开个“绿灯”。

# === 查看当前端口定义 ===
semanage port -l
# 按类型过滤
semanage port -l | grep http
# === 添加端口定义 ===
# 示例：让 Apache 监听 8080 端口
sudo semanage port -a -t http_port_t -p tcp 8080
# 参数说明：
# -a : 添加
# -t : SELinux 类型
# -p : 协议（tcp/udp）
# 8080 : 端口号
# === 添加端口范围 ===
sudo semanage port -a -t http_port_t -p tcp 8080-8090
# === 删除端口定义 ===
sudo semanage port -d -t http_port_t -p tcp 8080
# === 修改端口定义 ===
sudo semanage port -m -t http_port_t -p tcp 8080

管理布尔值（boolean）

布尔值管理是SELinux策略中最灵活的部分，它允许你开启或关闭某些功能，而不需要重新编译策略。举个例子，想让HTTP服务能连接网络，只需要把对应的布尔值设为“on”即可。

# === 查看所有布尔值 ===
semanage boolean -l
# 查看当前值
getsebool -a
# === 永久修改布尔值 ===
# 方法1：使用 semanage（推荐）
sudo semanage boolean -m --on httpd_can_network_connect
sudo semanage boolean -m --off httpd_can_network_connect
# 方法2：使用 setsebool -P（等效）
sudo setsebool -P httpd_can_network_connect on
# === 临时修改布尔值（重启后失效）===
sudo setsebool httpd_can_network_connect on
# === 常用布尔值 ===
# 允许 HTTP 服务连接网络
setsebool -P httpd_can_network_connect on
# 允许 HTTP 服务访问用户目录
setsebool -P httpd_enable_homedirs on
# 允许 FTP 服务访问用户目录
setsebool -P ftp_home_dir on
# 允许 Samba 服务访问用户目录
setsebool -P samba_enable_home_dirs on

管理用户（user）

SELinux的用户管理相对“高级”一些，但如果你需要做精细化的权限控制，就绕不开它。比如创建一个自定义的SELinux用户，并赋予它特定的角色权限。

# === 查看 SELinux 用户 ===
semanage user -l
# === 创建 SELinux 用户 ===
sudo semanage user -a -R "staff_r sysadm_r" -P "MCS" myuser_u
# === 修改 SELinux 用户 ===
sudo semanage user -m -R "staff_r sysadm_r" myuser_u
# === 删除 SELinux 用户 ===
sudo semanage user -d myuser_u
# === 将 Linux 用户映射到 SELinux 用户 ===
sudo semanage login -a -s myuser_u username

管理角色（role）

# === 查看角色 ===
semanage role -l
# === 添加角色 ===
sudo semanage role -a -t httpd_t httpd_sysadm_r
# === 删除角色 ===
sudo semanage role -d httpd_sysadm_r

实际应用场景

理论讲完，我们来点实际的。以下三个场景在日常运维中非常常见，基本覆盖了SELinux策略调整的“三板斧”。

# === 场景1：让 Apache 监听非标准端口 ===
# 1. 添加端口定义
sudo semanage port -a -t http_port_t -p tcp 8080
# 2. 修改 Apache 配置
sudo vim /etc/httpd/conf/httpd.conf
# 修改：Listen 8080
# 3. 重启 Apache
sudo systemctl restart httpd
# === 场景2：让 Nginx 访问非标准目录 ===
# 1. 添加文件上下文规则
sudo semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# 2. 应用规则
sudo restorecon -Rv /web/
# 3. 验证
ls -Zd /web/
# === 场景3：让 Samba 共享非标准目录 ===
# 1. 添加文件上下文规则
sudo semanage fcontext -a -t samba_share_t "/shared(/.*)?"
# 2. 应用规则
sudo restorecon -Rv /shared/
# 3. 设置布尔值
sudo setsebool -P samba_enable_home_dirs on

管理模块（module）

如果你的需求超出了现有策略，就需要自己编写并加载自定义模块。这个过程虽然有点繁琐，但胜在灵活。

# === 查看已加载模块 ===
semanage module -l
# === 启用模块 ===
sudo semanage module -e module_name
# === 禁用模块 ===
sudo semanage module -d module_name
# === 安装自定义模块 ===
# 编译 .te 文件为 .mod
checkmodule -M -m my_policy.te -o my_policy.mod
# 打包为 .pp
semodule_package -o my_policy.pp -m my_policy.mod
# 安装模块
sudo semodule -i my_policy.pp

故障排查

最后，我们来聊聊常见问题。这几个坑我当年都踩过，希望你能避免。

# 问题1：semanage 命令找不到
# 解决：安装 policycoreutils-python-utils
sudo apt install policycoreutils-python-utils
# 问题2：修改不生效
# 原因：没有使用 restorecon 应用
# 解决：
sudo restorecon -Rv /path/
# 问题3：端口定义冲突
# 查看端口是否已被其他类型使用
semanage port -l | grep 8080
# 如果冲突，先删除旧的
sudo semanage port -d -t old_type -p tcp 8080
# 问题4：文件上下文规则不生效
# 验证正则表达式是否正确
echo "/web/test.txt" | grep -E "^/web(/.*)?$"

semanage 与 chcon/restorecon 对比

┌─────────────────────────────────────────────┐
│  命令       │ 作用范围   │ 持久性     │ 推荐度      │
├─────────────────────────────────────────────┤
│  chcon     │ 当前文件   │ 不持久     │  ⚠️ 临时   │
│  restorecon │ 当前文件   │ 依赖策略   │  ✅ 恢复   │
│  semanage  │ 策略数据库 │ 持久       │  ✅ 永久   │
└─────────────────────────────────────────────┘

总结

核心价值：semanage 是永久修改 SELinux 策略的工具，确保修改在重新标记后仍然生效。这才是关键所在。

最佳实践：

1. 使用 semanage fcontext 添加文件上下文规则
2. 使用 semanage port 添加端口定义
3. 使用 semanage boolean -m --on 永久修改布尔值
4. 修改后使用 restorecon 应用

常用组合：

• semanage fcontext -a -t type "/path(/.*)?"：添加文件上下文规则
• semanage port -a -t type -p tcp port：添加端口定义
• semanage boolean -l：查看布尔值
• semanage boolean -m --on bool：永久启用布尔值
• restorecon -Rv /path/：应用文件上下文规则

⚠️ 注意：semanage 修改的是策略数据库，需要配合 restorecon 才能应用到文件系统。这个顺序千万别搞反了。