SELinux コンテキストがリセットされるタイミング

Question

chconコマンドでバーチャルホストのDocument rootのコンテキストを変更しました。

この変更は「chconで行った変更は、ファイルシステムの再ラベルや
/sbin/restorecon コマンドにより消されます。」とありましたが、
OSの再起動では、保持されると考えてよいのでしょうか？

自分の作業記録には、chconで変更した記録が残っていますが、
サーバを再起動した時に、Wordpressが動作するディレクトリが
「Permission denied」となり、再度chconコマンドを実行しました。

semanage fcontextを実行しないと書き替わってしまいますか？
それとも単に“寝ぼけて”作業記録をメモしていたのでしょうか？

chconコマンドの結果の“有効期間”について、どのような時に
戻ってしまうのか確認したく質問しました。

Answer 1

CentOSでは、SELinuxを有効にすると最初の再起動時に/.autorelabelが作成され、次の再起動時にファイルシステム全体の再ラベルが行われるので、それに当たったのだと思われます。

Comments

[taro373]

>システム全体に対して再ラベル付けを行うにはルートディレクトリ直下に .autorelabel ファイルを作成し、OS を再起動します。
との説明（「 .autorelabel 」は自分で作成）は見つかりましたが、「SELinuxを有効」にすると
できてしまうのですね。
再起動の際にchconを実行したり、SELiniuxをあわてて止めたりするよりは
semanage fcontextを実行するのが正解のようですね

Answer 2

SELinuxのファイルに係るコンテキストはファイルが作成される際に付与れます。
これはSELinuxがtargetedモード(デフォルト)で動いているときに発生します。

ドキュメントルートをデフォルト以外へ変更されたということで、ファイルの作成等により異なるラベルが付与されたと考えるべきです。(アプリケーションによっては、ファイルを更新する際に削除してから作成するものもあります)
コメントにあるように、「永続的な変更: semanage fcontext」をされることが正しいと思われます。

• RedHat(CentOS) 6.x系ドキュメント:永続的な変更: semanage fcontext
• RedHat(CentOS) 7.x系ドキュメント:永続的な変更: semanage fcontext