MySQL的selinux配置
一、selinux的概念：
selinux是Security Enhanced Linux (安全强化 Linux)的简称，selinux涉及到主体(subject，一般指进程)、操作(operation)、对象(object，又称资源，如：文件、网络端口)，selinux用于控制“主体”能以何种“操作”方式访问什么“对象”。
selinux环境中，所有的“主体(进程)”被赋予一个“domain”标签，所有的“对象”也被赋予一个“type”类型标签，“domain”标定的“主体”能访问哪些“type”标定的“对象”，由selinux的安全策略定义。
二、selinux环境：
selinux有三种状态，分别是：
我们可以使用“getenforce”命令查看selinux是否在强制模式中运行：
如果状态为“Permissive”，可以直接使用“setenforce 1”命令临时改为强制状态：
三、mysql服务中的selinux定义：
1、mysql进程主体的domain标签：
在selinux环境中，mysqld的“domain”标签为“mysqld_t”、mysqld在受限的“mysqld_t”域中仅能访问指定的资源；
2、selinux环境中mysql能访问的资源标签：
3、selinux中mysq的布尔变量：
四、配置演示：
下面演示在selinux环境中，由于修改了mysql的数据存放路径，而导致的selinux权限错误、及其修正方法；在测试前，我们得先得确认我们的linux系统处于“selinux”环境，请参考第二步。
1、首先，我们在修改mysql路径前确定mysql是能正常运行的，并停止mysql服务：
2、创建新的mysql数据存放路径，并使用“mysql_install_db”初始化目录；我这里只是测试，原数据库的数据不需要保留，如果需要保留，需要想将原数据库备份，修改路径完成正常运行后再恢复：
3、在mysql的配置文件"/etc/my.cnf"中，在"[mysqld]"组下，将"datadir="的值改成新的路径；修改后我的配置文件内容如下：
4、尝试启动MySQL，观察提示的错误（由于我们上面没有为新的mysql目录设置selinux权限，这里一定会报错的）：
5、使用chcon命令为mysql数据目录设置selinux权限，并启动mysql，发现启动成功：
selinux是Security Enhanced Linux (安全强化 Linux)的简称，selinux涉及到主体(subject，一般指进程)、操作(operation)、对象(object，又称资源，如：文件、网络端口)，selinux用于控制“主体”能以何种“操作”方式访问什么“对象”。
selinux环境中，所有的“主体(进程)”被赋予一个“domain”标签，所有的“对象”也被赋予一个“type”类型标签，“domain”标定的“主体”能访问哪些“type”标定的“对象”，由selinux的安全策略定义。
二、selinux环境：
selinux有三种状态，分别是：
- Enforcing：强制模式，selinux正严格按照策略运行中；
- Permissive：宽容模式，selinux正在运行中，但是只记录日志，不执行实际限制；
- Disabled：禁用模式，selinux环境未被开启；
我们可以使用“getenforce”命令查看selinux是否在强制模式中运行：
[root@aiezu.com ~]# getenforce Disabled如果状态为“Disabled”，我们必须在"/etc/sysconfig/selinux"文件中，将“SELINUX=disabled”改为“SELINUX=enforcing”，并重启服务器后才能开启；
如果状态为“Permissive”，可以直接使用“setenforce 1”命令临时改为强制状态：
[root@aiezu.com ~]# getenforce Permissive [root@aiezu.com ~]# setenforce 1 [root@aiezu.com ~]# getenforce Enforcing
三、mysql服务中的selinux定义：
1、mysql进程主体的domain标签：
在selinux环境中，mysqld的“domain”标签为“mysqld_t”、mysqld在受限的“mysqld_t”域中仅能访问指定的资源；
2、selinux环境中mysql能访问的资源标签：
| 标签名 | 用途 |
|---|---|
| mysqld_db_t | 这种文件类型用于标记MySQL数据库数据文件； 在RHEL/CentOS中数据文件的默认位置是“/var/lib/mysql”； 如果修改了MySQL数据文件的位置，新的位置必须使用这种类型标签； |
| mysqld_etc_t | 这种文件类型用于标记MySQL的配置文件； 默认位置为： 主配置文件：“/etc/my.cnf”； 其他配置文件：“/etc/my.cnf.d/”目录下的文件； |
| mysqld_exec_t | 这种文件类型用于标记MySQL主进程文件； 默认为：“/usr/libexec/mysqld”或者“/usr/sbin/mysqld”; 可以通过“whereis mysqld”命令查找； |
| mysqld_initrc_exec_t | 这种文件类型用于标记MySQL的初始化脚本； 默认为：“/etc/rc.d/init.d/mysqld”； “service mysqld start”中“mysqld”用的就是此脚本； |
| mysqld_log_t | 这种文件类型用于标记日志文件； |
| mysqld_var_run_t | 这种文件类型用于标记MySQL运行时产生的文件； 默认在“/var/run/mysqld”目录中，主要包括： /var/run/mysqld/mysqld.pid /var/run/mysqld/mysqld.sock |
3、selinux中mysq的布尔变量：
| 变量名 | 含义 |
|---|---|
| allow_user_mysql_connect | 当这个变量值为“1”时允许用户连接数据库； |
| exim_can_connect_db | 当这个变量值为“1”时允许exim邮件程序访问数据库服务器； |
| ftpd_connect_db | 当这个变量值为“1”时允许ftpd进程访问数据库服务器； |
| httpd_can_network_connect_db | 当这个变量值为“1”时允许httpd进程访问数据库服务器； |
四、配置演示：
下面演示在selinux环境中，由于修改了mysql的数据存放路径，而导致的selinux权限错误、及其修正方法；在测试前，我们得先得确认我们的linux系统处于“selinux”环境，请参考第二步。
1、首先，我们在修改mysql路径前确定mysql是能正常运行的，并停止mysql服务：
[root@aiezu.com ~]# service mysql stop Shutting down MySQL.. SUCCESS! [root@aiezu ~]# service mysql start Starting MySQL. SUCCESS! [root@aiezu.com ~]# lsof -i:3306 COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME mysqld 5166 mysql 10u IPv6 22791 0t0 TCP *:mysql (LISTEN) [root@aiezu.com ~]# service mysql stop Shutting down MySQL.. SUCCESS!
2、创建新的mysql数据存放路径，并使用“mysql_install_db”初始化目录；我这里只是测试，原数据库的数据不需要保留，如果需要保留，需要想将原数据库备份，修改路径完成正常运行后再恢复：
[root@aiezu.com ~]# mkdir -p /storage/db [root@aiezu.com ~]# mysql_install_db --datadir=/storage/db/ [root@aiezu.com ~]# chown -R mysql:mysql /storage/db/
3、在mysql的配置文件"/etc/my.cnf"中，在"[mysqld]"组下，将"datadir="的值改成新的路径；修改后我的配置文件内容如下：
[mysqld] datadir=/storage/db/ socket=/storage/db/mysql.sock pid-file=/storage/db/aiezu.com.pid [mysqld_safe] log-error=/var/log/mysqld.log [client] socket=/storage/db/mysql.sock注意“[mysqld]”组和“[client]”组下的“socket=”后面的值要一致，否则运行mysql连接数据的时候会提示如下错误：
ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2)
4、尝试启动MySQL，观察提示的错误（由于我们上面没有为新的mysql目录设置selinux权限，这里一定会报错的）：
[root@aiezu.com ~]# service mysql start Starting MySQL. ERROR! The server quit without updating PID file (/storage/db/aiezu.com.pid).在mysql的日志文件中能看到更详细的错误信息，可以在“my.cnf”中找到日志文件的路径，我这里的路径为“/var/log/mysqld.log”：
161201 23:26:55 mysqld_safe Starting mysqld daemon with databases from /storage/db/ 2016-12-01 23:26:56 0 [Warning] TIMESTAMP with implicit DEFAULT value is deprecated. Please use --explicit_defaults_for_timestamp server option (see documentation for more details). 2016-12-01 23:26:56 0 [Warning] Can't create test file /storage/db/aiezu.lower-test 2016-12-01 23:26:56 0 [Note] /usr/sbin/mysqld (mysqld 5.6.34) starting as process 6215 ... 2016-12-01 23:26:56 6215 [Warning] Can't create test file /storage/db/aiezu.lower-test 2016-12-01 23:26:56 6215 [Warning] Can't create test file /storage/db/aiezu.lower-test 2016-12-01 23:26:56 6215 [Note] Plugin 'FEDERATED' is disabled. ^G/usr/sbin/mysqld: Can't find file: './mysql/plugin.frm' (errno: 13 - Permission denied) 2016-12-01 23:26:56 6215 [ERROR] Can't open the mysql.plugin table. Please run mysql_upgrade to create it. ... 2016-12-01 23:26:56 6215 [ERROR] InnoDB: os_file_get_status() failed on './ibdata1'. Can't determine file permissions 2016-12-01 23:26:56 6215 [ERROR] InnoDB: The system tablespace must be writable! ...可以看到日志文件中出现了“Permission denied”字样，这就是由于selinux权限引起的（上面我们设置了文件系统权限，所以不是文件系统权限引起的）；
5、使用chcon命令为mysql数据目录设置selinux权限，并启动mysql，发现启动成功：
[root@aiezu.com ~]# chcon -R -t mysqld_db_t /storage/db/ [root@aiezu.com ~]# service mysql start Starting MySQL. SUCCESS! [root@aiezu.com ~]# lsof -i:3306 COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME mysqld 6590 mysql 10u IPv6 24127 0t0 TCP *:mysql (LISTEN) [root@aiezu.com ~]# ps -eZ|grep mysqld unconfined_u:system_r:mysqld_safe_t:s0 6437 ? 00:00:00 mysqld_safe unconfined_u:system_r:mysqld_t:s0 6590 ? 00:00:00 mysqldchcon命令的用法请参考：http://aiezu.com/article/linux_chcon_command.html
