linux - 如何为从 Apache 启动的子进程禁用 SELinux？

Question

My Apache module启动一个辅助子进程，它执行例如但不限于以下操作:

• 它设置一个套接字以便它可以与 Apache 通信。
• 在 Apache 退出时删除的临时位置读取和写入文件。这些文件用于例如用于存储通过网络接收到的大量数据，以防数据不适合 RAM。
• 它生成用户指定的可执行文件。类似于 CGI。这些派生的进程中的每一个都作为自己的专用用户运行。

辅助子进程以 root 身份启动，以便它可以管理文件所有权和权限，并可以作为特定用户生成更多进程。

我的模块的一些用户在安装了 SELinux 的系统上运行，例如基于 RedHat 的发行版。 SELinux 通常会干扰我的模块。直到现在，我一直告诉人们在系统范围内禁用 SELinux，因为我不知道如何为我的软件编写适当的策略。文档非常分散、复杂，通常只针对系统管理员，而不是软件开发人员。

作为朝着正确方向迈出的一步，我想实现对 SELinux 的最小支持。我正在寻找一种方法来启动我的助手子进程，而无需在整个系统范围内禁用 SELinux 的任何 SELinux 约束。有没有办法做到这一点，如果有，怎么做？

Answer 1

好吧...您可以编写一个将您的域转换为unconfined_t 的规则，但是您会激怒很多系统管理员。最好为自己编写一个继承自 httpd_t 的新域，并添加适当的访问上下文。