在CentOS 7系统中，SELinux（Security-Enhanced Linux）是一个至关重要的安全模块，它通过强制访问控制（MAC）机制增强系统安全性，SELinux可以限制进程对文件、网络端口和其他资源的访问，即使进程被攻击者控制，也能有效减少潜在 damage，正确配置SELinux是保障系统安全的基础，本文将详细介绍CentOS 7下SELinux的配置方法、常见操作及注意事项。
SELinux的基本概念与工作模式
SELinux有三种工作模式： enforcing（强制模式）、permissive（宽松模式）和disabled（禁用模式），在enforcing模式下，SELinux会强制执行所有安全策略，违规操作会被阻止并记录日志；permissive模式下仅记录违规日志而不阻止操作；disabled模式则完全关闭SELinux，CentOS 7默认启用enforcing模式，建议在生产环境中保持此模式以确保安全。
查看当前SELinux状态
通过命令行可以快速查看SELinux的当前状态，执行sestatus命令会显示SELinux的运行模式、策略类型及配置文件路径，输出中“SELinux status: enabled”表示SELinux已启用，“Current mode: enforcing”则为当前模式。getenforce命令可快速返回当前模式（如Enforcing、Permissive或Disabled）。
临时切换SELinux模式
在调试或维护时，可能需要临时切换SELinux模式，使用setenforce 0可切换至permissive模式，setenforce 1则恢复enforcing模式，注意，这些修改是临时的，重启系统后会恢复为配置文件中的默认设置，若需永久修改，需编辑/etc/selinux/config文件，将SELINUX参数改为enforcing、permissive或disabled，然后重启系统生效。
SELinux策略与上下文管理
SELinux通过安全上下文（security context）定义文件、进程和用户的访问权限，每个文件或进程都有用户（user）、角色（role）、类型（type）和级别（level）四个属性，通常以user:role:type:level格式表示，Web服务文件的默认类型为httpd_sys_content_t，若文件类型错误，可能导致服务无法访问，使用ls -Z可查看文件的安全上下文，chcon命令可临时修改上下文，semanage fcontext则可永久设置。
解决SELinux导致的权限问题
当服务因SELinux策略异常而无法运行时，需排查日志，通过audit2why工具分析/var/log/audit/audit.log中的SELinux拒绝记录，可快速定位问题原因，若Apache无法访问网站目录，可能是目录类型未正确设置为httpd_sys_content_t，此时使用semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"和restorecon -Rv /var/www即可修复。
自定义SELinux策略
默认策略可能无法满足所有场景，需自定义规则，首先使用audit2allow工具将日志中的拒绝事件转化为允许策略模块，然后通过checkmodule、semodule_package和semodule -i编译并安装模块，自定义策略需谨慎测试，避免引入安全风险。
网络端口与SELinux
SELinux默认限制服务仅使用标准端口，MySQL默认监听3306端口，若需修改为其他端口，需使用semanage port -a -t mysql_port_t -p tcp 新端口号添加策略，否则服务将无法启动。
FAQs
Q1：如何永久禁用SELinux？
A1：编辑/etc/selinux/config文件，将SELINUX=enforcing改为SELINUX=disabled，保存后重启系统，注意：禁用SELinux会降低系统安全性，仅建议在测试环境中使用。
Q2：SELinux导致服务无法访问，如何快速排查？
A2：首先使用getenforce确认SELinux是否启用；然后检查/var/log/audit/audit.log或/var/log/messages中的拒绝记录，通过audit2why分析原因；最后根据提示调整文件上下文或添加策略模块。