android - SELinux - 是否可以从域继承？

Question

我正在扩展 Android SELinux 政策以支持专有系统服务。在 Android 中，system_app 域是为特权系统应用程序定义的。我希望我的专有服务具有与 system_app 域中定义的完全相同的权限以及一些额外的权限。是否可以在不更改 system_app 域定义或复制它的情况下这样做？ SELinux 中是否存在某种域继承机制？

Answer 1

根据您的需要(需要修改)，Android 上的 SELinux 策略不允许此功能。但是，如果您通过关键字 type 查看类型是如何定义的，它允许定义新类型并为其分配属性。另一个关键字 typeattribute 允许将属性分配给类型后声明。

例如:

type foo, kitten, dog;

等同于:

type foo, dog;
typeattribute foo, kitten;

请注意，所有属性都必须通过attribute 关键字声明:

attribute kitten;
attribute dog;

你可以这样想，因为类型 foo 扩展了 kitten 和 dog。但是，system_app 是一种类型，而不是属性，因此无法扩展。

在某个时间点，我希望做一些非常相似的事情，并尝试使基本策略应用程序域中的所有类型都消失，并因此使它们成为属性。它最终被放弃了:

https://android-review.googlesource.com/#/c/58741/

但是，通过应用相同的习语，您可以达到您想要的结果。