如何在httpd_t SELinux上下文以nginx用户运行Python脚本？

方案1：利用systemd原生SELinux配置+受控目录放置脚本与虚拟环境 #

1. 将Python脚本及依赖（建议用虚拟环境）迁移到httpd_t默认允许访问的目录，比如/var/www/my_script/
2. 设置目录及文件的SELinux上下文：
   • 脚本目录设为httpd_sys_content_t：semanage fcontext -a -t httpd_sys_content_t "/var/www/my_script(/.*)?"
   • 脚本文件设为httpd_sys_script_exec_t：semanage fcontext -a -t httpd_sys_script_exec_t "/var/www/my_script/script.py"
   • 若用虚拟环境，把虚拟环境的bin/python也设为httpd_sys_script_exec_t：semanage fcontext -a -t httpd_sys_script_exec_t "/var/www/my_script/venv/bin/python3"
   • 应用上下文：restorecon -Rv /var/www/my_script/
3. 编写systemd单元文件（比如/etc/systemd/system/my_script.service）：

   [Unit]
   Description=Custom Python Script Running as httpd_t/nginx
   
   [Service]
   User=nginx
   Group=nginx
   # 指定SELinux上下文
   SecurityContext=system_u:system_r:httpd_t:s0
   # 使用虚拟环境的Python执行脚本
   ExecStart=/var/www/my_script/venv/bin/python3 /var/www/my_script/script.py
   WorkingDirectory=/var/www/my_script/
   Restart=on-failure
   
   [Install]
   WantedBy=multi-user.target
   

4. 重载systemd并启动服务：
   systemctl daemon-reload
systemctl start my_script.service

方案2：自定义SELinux模块允许httpd_t执行特定Python二进制 #

如果不想移动Python解释器，可给目标Python入口点设置专属SELinux类型，再允许httpd_t执行该类型：

1. 给Python3入口点创建自定义类型：
   semanage fcontext -a -t my_python_exec_t /usr/bin/python3（替换成你的Python路径）
   restorecon /usr/bin/python3
2. 编写自定义SELinux模块文件my_httpd_python.te：

   module my_httpd_python 1.0;
   
   require {
       type httpd_t;
       type my_python_exec_t;
       class file execute;
       class process transition;
   }
   
   # 允许httpd_t执行该类型的Python
   allow httpd_t my_python_exec_t:file execute;
   # 允许进程转换（如果需要）
   allow httpd_t my_python_exec_t:process transition;
   

3. 编译并加载模块：
   checkmodule -M -m -o my_httpd_python.mod my_httpd_python.te
semodule_package -o my_httpd_python.pp -m my_httpd_python.mod
semodule -i my_httpd_python.pp
4. 配置systemd单元时直接指定SecurityContext和User=nginx，无需runcon。

关键注意事项 #

• 避免直接放宽httpd_t对bin_t的访问权限，这会破坏SELinux的最小权限原则
• 确保脚本依赖的所有文件（配置、日志等）的SELinux上下文也被调整为httpd_t允许访问的类型（如httpd_sys_content_t、httpd_log_t）
• 若遇到新的权限拒绝，用ausearch -m avc -ts recent查看审计日志，针对性调整上下文或模块

内容的提问来源于stack exchange，提问作者supercrazylash