SELinux（Security-Enhanced Linux）是一種在Linux操作系統中實現強制訪問控制（MAC）的安全模塊。它通過定義一套規則來限制進程和用戶對系統資源的訪問，從而提高系統的安全性。在CentOS中，SELinux默認是啟用的。要使用SELinux限制CentOS服務權限，請按照以下步驟操作：
查看SELinux狀態： 在終端中輸入以下命令，查看SELinux的當前狀態。
getenforce
如果輸出結果為“Enforcing”，則表示SELinux正在強制執行安全策略。如果輸出結果為“Disabled”，則表示SELinux已禁用。
修改SELinux配置：
如果需要修改SELinux的配置，可以編輯/etc/selinux/config文件。例如，要將SELinux設置為Permissive模式，可以將SELINUX=enforcing更改為SELINUX=permissive。保存更改后，重啟系統以使更改生效。
為服務創建自定義SELinux策略：
要限制特定服務的權限，可以為該服務創建自定義SELinux策略。首先，需要安裝policycoreutils-python包，以使用audit2allow工具生成策略模塊。
sudo yum install policycoreutils-python
收集服務的SELinux拒絕日志： 當服務嘗試訪問受限制的資源時，SELinux會生成拒絕日志?？梢允褂?code>ausearch工具搜索特定服務的拒絕日志。例如，要查找與httpd服務相關的拒絕日志，請運行以下命令：
sudo ausearch -m avc -ts recent -c httpd
生成自定義SELinux策略模塊：
使用audit2allow工具根據收集到的拒絕日志生成自定義SELinux策略模塊。例如，要為httpd服務生成策略模塊，請運行以下命令：
sudo ausearch -m avc -ts recent -c httpd | audit2allow -M my_httpd_policy
這將生成一個名為my_httpd_policy.pp的策略模塊文件。
安裝并啟用自定義SELinux策略模塊：
使用semodule工具安裝并啟用生成的自定義策略模塊。例如，要安裝并啟用my_httpd_policy模塊，請運行以下命令：
sudo semodule -i my_httpd_policy.pp
驗證策略模塊是否生效：
使用sestatus命令查看自定義策略模塊是否已啟用。例如，要檢查my_httpd_policy模塊的狀態，請運行以下命令：
sudo semodule -l | grep my_httpd_policy
如果輸出結果顯示模塊已啟用，則表示自定義策略模塊已成功應用。
通過以上步驟，可以使用SELinux限制CentOS服務的權限。請注意，創建和修改SELinux策略需要對Linux安全模塊和SELinux策略有一定的了解。在進行更改之前，請確保充分了解相關概念和潛在影響。
