如何告诉 SELinux 允许 python 脚本做“一切”

Question

我是 SELinux 新手，这让我很头疼。我有一个 python 服务，它在我的主目录 (my_script.py) 上运行 python 脚本。我一直在运行该服务，看看 SELinux 阻止了它的哪些方面，并添加了一个新的 SElinux 模块

    allow this access for now by executing:
# ausearch -c 'my_script.py' --raw | audit2allow -M my_script
# semodule -X 300 -i my_script.pp

但是，每次我添加一个新模块时，它都会阻止我的脚本的另一个方面（读取文件、写入文件、然后读取套接字等）。我相信我现在有大约 10 个模块，并且我很难跟踪他们全部。我还担心我的脚本可能会做一些 SELinux 不喜欢但在测试过程中没有出现的事情。有没有办法告诉 SELinux，请让 my_script.pp 做它想做的事（读、写、重命名等）？我正打算禁用 SELinux，但真的不愿意。谢谢！

Answer 1

这需要通过以下方式完成：

1. 设置 SELinux 为宽容模式
2. 运行脚本
3. 生成 SELinux 策略

   ausearch -c 'my_script.py' --raw | audit2allow -M my_script

4. 安装

   semodule -X 300 -i my_script.pp

5. 再次将 SELinux 设置为强制模式

Answer 2

SE Linux 正在其后端生成，它将帮助您更仔细地认识您的问题并为您提供纠正方法

如果您使用的是 Rocky Linux / Redhat，请使用以下命令查看 SE Linux 消息及其补救措施

sealert -l“*”