一、管理非限制进程
非限制的进程运行在非限制域中。比如，init进程运行在非限制的initrc_t域中，非限制的kernel进程运行在kernel_t域中，非限制的用户运行在unconfined_t域中。对于非限制的进程，SELinux策略规则仍然适用，然而有关允许进程运行在非限制域中的规则允许几乎所有的访问。因此，如果一个非限制进程被黑客控制的话，那么SELinux将不能阻止黑客获取对系统资源和数据的访问权限，当然DAC规则仍然适用，因为SELinux机制是在DAC层次上附加一层对Linux的增强，而不是简单地替代DAC。
下面将给出一个具体的例子来说明Apache Http服务器（httpd进程）在非限制的条件下运行，是如何能够访问本应由Samba服务器访问的数据的。值得注意的是：在Fedora 10中，httpd进程默认是限制运行在httpd_t域中的。下面的例子假设用户系统中安装了httpd、wget（一种类似于Windows系统下Flashget软件的多线程下载工具）、settroubleshoot-server、audit等工具包，并且SELinux机制运行在enforcing模式下。
（1）运行sestatus命令来确认Linux中SELinux是运行的，且运行在enforcing模式下，运行结果与图1所示一致：
图1 运行sestatus命令来确认Linux中SELinux是否运行
（2）以root用户身份，创建一个新的测试文件testfile2，该文件路径为httpd进程的工作目录下，如下所示：
- #touch /var/www/html/testfile2
（3）使用ls -z命令来查看新创建的文件的SELinux上下文信息，如图2所示：
图2 使用ls-Z命令查看新创建文件的SELinux上下文信息
从上述结果中可以清楚看到：Linux用户默认运行在非限制域中，所以testfile2文件上下文信息标识为unconfined_u。并且，RBAC用于进程，而不是文件。另外，对于文件来说角色也没有特别的含义，因此赋予其object_r为较为通用的角色。而httpd_sys_content类型则允许httpd进程对该文件进行访问。
（4）采用chron命令暂时对文件的标识进行改变。一旦系统重启，该改变将会失效。若要永久改变文件的标识，可以采用semanage命令进行操作。使用root用户身份，运行如下命令来将文件类型改为由Samba服务器可访问的类型：
- #chcon -t samba_share_t /var/www/html/testfile2
然后，采用ls -z命令来查看修改后的结果：
- # ls -Z /var/www/html/testfile2
- -rw-r--r-- root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile2
（5）在将httpd进程从限制修改为非限制之前，需要将该进程停止，使用如下命令：
- #/sbin/service httpd stop
（6）以root用户身份运行如下命令，来改变httpd进程的类型，以将其从限制改为非限制：
- #chcon -t unconfined_exec_t /usr/sbin/httpd
然后，使用ls -z命令来查看进程，以确保修改生效，如下所示：
- # ls -Z /usr/sbin/httpd
- -rwxr-xr-x root root system_u:object_r:unconfined_exec_t:s0 /usr/sbin/httpd
（7）为了使httpd在运行时该修改生效，需要重新启动httpd进程，如图6-22所示：
（8）采用ps -ez | grep httpd命令来查看httpd进程运行在非限制域中的情况，如图3所示：
图3 启动httpd进程并查看
