Apache httpd通过Unix域套接字连接Tomcat遭SELinux拒绝的SELinux配置调整咨询

首先从你提供的SELinux审计日志能明确问题：Apache的进程上下文httpd_t被拒绝连接到Tomcat进程关联的Unix流套接字（上下文tomcat_t），这是SELinux默认的进程隔离机制导致的。下面给你两种明确的解决路径，按需选择：

方法一：使用audit2allow生成自定义SELinux策略（推荐，最精准） #

这是处理这类自定义权限问题的标准做法，直接基于审计日志生成允许规则：

1. 从审计日志中提取相关拒绝记录并生成策略模块：

   grep "avc:  denied  { connectto }.*httpd.*tomcat" /var/log/audit/audit.log | audit2allow -M httpd-tomcat-unixsocket
   

2. 加载生成的策略模块（永久生效）：

   semodule -i httpd-tomcat-unixsocket.pp
   

这个方法会精准添加httpd_t连接tomcat_t Unix套接字的权限，不会过度放宽SELinux规则。

方法二：调整套接字的SELinux上下文（适配目录归属场景） #

你当前的套接字上下文是httpd_var_run_t，但Tomcat创建的套接字更合理的上下文应该是tomcat_var_run_t，后续再确保Apache有权访问该类型：

1. 给Tomcat的套接字目录设置正确的SELinux上下文规则：

   semanage fcontext -a -t tomcat_var_run_t "/run/tomcat-xxx2-yyy(/.*)?"
   

2. 应用上下文到目录及其中的套接字：

   restorecon -Rv /run/tomcat-xxx2-yyy
   

3. 检查并开启现成的通信权限布尔值（部分发行版默认支持）：

   setsebool -P httpd_can_connect_tomcat on
   

   这个布尔值专门用于开放Apache与Tomcat的跨进程通信权限，包含Unix套接字场景。

验证生效 #

完成配置后，重启Apache和Tomcat测试连接：

systemctl restart httpd tomcat

如果不再出现SELinux拒绝日志，就说明配置生效了。

备注：内容来源于stack exchange，提问作者Graham Leggett