如何启用selinux的Recovery process

在SELinux中，恢复过程是指在SELinux强制执行期间发生错误后，如何将系统恢复到正常运行状态。以下是设置SELinux恢复过程的步骤： 1. 编辑SELinux策略文件，将recovery_process选项设置为“on”： # vi /etc/selinux/config SELINUX=permissive SELINUXTYPE=targeted recovery_process=on 2. 重新启动系统以使更改生效。 3. 为系统中的每个进程设置恢复进程。可以使用semanage命令或编辑/etc/selinux/targeted/contexts/default_contexts文件手动设置。 使用semanage命令： # semanage permissive -a processname_t 使用编辑器手动设置： # vi /etc/selinux/targeted/contexts/default_contexts processname_t:s0-s0:c0.c1023 root:object_r:process_exec_t:s0 4. 重启SELinux以使更改生效。 # setenforce 1 以上步骤将在SELinux强制执行期间发生错误时启动恢复进程，并将系统恢复到正常运行状态。

<think>我们正在解决一个Android构建过程中由于SELinux策略导致的neverallow检查失败问题。具体错误是：`allow init hal_nfc_default_exec file execute execute_no_trans`。 这个错误发生在SELinux策略检查阶段，提示我们有一条规则试图允许`init`进程对标记为`hal_nfc_default_exec`的文件执行`execute`和`execute_no_trans`操作，但这条规则违反了neverallow规则。 解决步骤： 1. 理解错误信息： - `neverallow`规则是SELinux策略中用于明确禁止某些权限的规则。如果我们的策略（通常是.te文件）中有一条规则允许了neverallow规则中禁止的操作，则构建会失败。 - 错误信息中提到的规则：`allow init hal_nfc_default_exec file execute execute_no_trans` - 主体（domain）：`init` - 客体（type）：`hal_nfc_default_exec` - 客体类别：`file` - 权限：`execute`和`execute_no_trans` 2. 定位问题规则： - 我们需要在策略文件中找到这条规则。通常，策略文件位于`device/<vendor>/<device>/sepolicy`或`system/sepolicy`等目录。 - 搜索关键字：`allow init hal_nfc_default_exec` 3. 分析原因： - 可能的原因是我们需要`init`进程执行`hal_nfc_default_exec`类型的文件，但SELinux的neverallow规则禁止了这种操作。 - 我们需要查看neverallow规则的具体内容，以确定为什么被禁止。通常，neverallow规则会在`system/sepolicy/public/global_macros`或类似位置定义，或者在某些neverallow文件中。 4. 解决方案： - 方案1：如果这条规则确实是不必要的，我们可以删除它。 - 方案2：如果这条规则是必要的，我们需要重新设计策略，避免违反neverallow规则。可能的做法： - 检查是否可以使用其他现有的域（domain）来执行该文件，而不是使用`init`域。 - 创建一个新的域（domain）来运行该可执行文件，然后允许该域执行`hal_nfc_default_exec`类型的文件。同时，确保这个新域不会违反任何neverallow规则。 - 检查`hal_nfc_default_exec`的类型定义，看是否可以将其更改为其他类型（例如，如果这个文件是一个守护进程，可以将其类型改为`hal_nfc_default`，并允许`hal_nfc_default`域执行该文件，然后通过`init`启动该守护进程，但`init`本身不执行该文件）。 5. 修改策略： - 假设我们在某个.te文件中找到了这条规则，例如`device/.../sepolicy/init.te`中有： `allow init hal_nfc_default_exec:file { execute execute_no_trans };` - 我们需要考虑移除或修改这条规则。 6. 替代方法： - 如果我们确实需要由init来启动这个可执行文件，我们可以使用init的`exec`功能，但是要注意SELinux策略。通常，init在启动其他服务时会进行域转换（domain transition）。所以，我们应该让init在执行该文件时切换到另一个域（例如`hal_nfc_default`域）。这样，我们就不需要允许init直接执行该文件，而是允许init进行域转换。 - 具体步骤： a. 确保有一个域（比如`hal_nfc_default`）被定义，并且该域有执行该文件的权限。 b. 在init的rc文件中，使用`exec`命令并指定域转换： `exec u:r:hal_nfc_default:s0 /path/to/executable` c. 在策略文件中，允许init在`hal_nfc_default_exec`类型的文件上执行`execute_no_trans`（注意：这里通常只需要`execute_no_trans`，因为init不会直接运行该文件，而是通过exec触发域转换）？实际上，我们需要的是允许init进行域转换到`hal_nfc_default`域，这需要以下规则： `allow init hal_nfc_default:process transition;` 以及允许init执行该文件（作为入口点）： `allow init hal_nfc_default_exec:file { execute getattr open read map };` d. 同时，我们需要域转换规则： `type_transition init hal_nfc_default_exec:process hal_nfc_default;` e. 但是注意，上述规则可能会被neverallow规则禁止，因为init通常不应该直接转换到hal域。因此，我们需要确保这种转换是安全的，并且符合策略。 7. 检查neverallow规则： - 我们可以通过搜索neverallow规则来确认为什么我们的规则被禁止。例如： `grep -r "neverallow.*init.*execute_no_trans" system/sepolicy` - 或者，更具体地，搜索针对`init`和`execute_no_trans`的neverallow。 8. 重新构建： - 修改策略后，重新构建系统，确保错误消失。 注意：在修改SELinux策略时，务必小心，因为错误的策略可能会导致安全漏洞或系统不稳定。 由于具体环境不同，这里无法给出确切的代码修改，但提供一般性指导。 相关问题： 1. 如何调试SELinux neverallow错误？ 2. 什么是SELinux域转换？如何正确配置？ 3. 如何为Android中的自定义硬件抽象层（HAL）进程添加SELinux策略？</think>### 解决 Android SELinux neverallow 检查失败问题 当 Android 构建失败并出现 `allow init hal_nfc_default_exec file execute execute_no_trans` 错误时，表明 SELinux 策略违反了系统的强制安全规则。以下是逐步解决方案： --- ### **1. 理解错误原因** - **neverallow 规则**：SELinux 策略中的 `neverallow` 语句明确禁止某些权限组合，这是 Android 的安全基线要求[^1]。 - **错误焦点**：`init` 进程试图直接执行 `hal_nfc_default_exec` 类型的文件（如 NFC HAL 可执行文件），违反了以下安全原则： - `execute_no_trans` 权限会绕过 SELinux 域转换（Domain Transition），使 `init` 保持高权限状态执行 HAL 代码，存在安全风险。 - **典型错误输出**： ```log libsepol.report_failure: neverallow violated by allow init hal_nfc_default_exec:file { execute execute_no_trans }; ``` --- ### **2. 解决方案** #### **步骤 1：检查违规规则** 在策略文件（`.te` 文件）中搜索违规语句： ```bash grep -r "allow init.*hal_nfc_default_exec" device/<vendor>/<device>/sepolicy/ ``` 通常位于 `hal_nfc_default.te` 或 `init.te` 中，类似： ```te # 错误示例（需删除或修改） allow init hal_nfc_default_exec:file { execute execute_no_trans }; ``` #### **步骤 2：修正策略（二选一）** ##### **方案 A：使用域转换（推荐）** 通过域转换将执行权限移交给专用域： ```te # 在 hal_nfc_default.te 中添加 type hal_nfc_default, domain; # 定义新域 type hal_nfc_default_exec, exec_type; # 标记可执行文件类型 # 允许 init 启动该域并转换权限 allow init hal_nfc_default:process transition; allow init hal_nfc_default_exec:file { getattr open read map execute }; # 设置域转换规则 type_transition init hal_nfc_default_exec:process hal_nfc_default; ``` ##### **方案 B：移除违规权限（简单场景）** 若无需直接执行，删除违规规则： ```diff - allow init hal_nfc_default_exec:file { execute execute_no_trans }; ``` #### **步骤 3：添加必要权限** 在 `hal_nfc_default.te` 中补充最小权限集： ```te allow hal_nfc_default self:process execmem; # 允许执行内存分配 allow hal_nfc_default hal_nfc_default_exec:file entrypoint; # 入口点权限 ``` #### **步骤 4：验证与编译** ```bash # 清理后重新编译 make clean && make # 或针对特定模块 mma -j8 ``` --- ### **3. 根本原因与预防** - **安全原则**：Android 要求 HAL 进程必须运行在独立域中，通过 `type_transition` 隔离权限[^2]。 - **常见错误**： - 直接允许 `init` 执行 HAL 可执行文件。 - 遗漏 `entrypoint` 或 `execmem` 声明。 - **调试工具**： ```bash audit2allow -i policy.log # 生成建议规则 seinfo --neverallow # 检查所有neverallow规则 ``` --- ### **相关问题** 1. 如何调试 SELinux 权限拒绝（avc denied）错误？ 2. 什么是 SELinux 域转换（Domain Transition）？如何正确配置？ 3. Android 的 HAL 进程需要哪些基本 SELinux 策略声明？ 4. 如何为自定义硬件模块添加 SELinux 策略？ 5. neverallow 规则失败后如何快速定位违规文件？ [^1]: Android SELinux 官方文档：https://source.android.com/security/selinux [^2]: Android HAL 策略规范：https://source.android.com/security/selinux/device-policy