CentOS 8手动启动Redis正常但systemd启动失败问题求助

1. SELinux生效状态的差异 #

你首次安装Redis后服务正常运行，大概率是当时系统SELinux处于临时permissive模式，该模式在系统重启后就会失效，读取/etc/selinux/config中的默认配置回归enforcing模式。很多场景下安装系统、调试服务时会临时关闭SELinux但忘记修改永久配置，重启后就会触发规则拦截。
另外CentOS 8默认会后台自动更新selinux-policy规则包，更新后的规则可能新增了对Redis服务的权限限制，也会导致之前正常运行的服务重启后被拦截。

2. Redis资源的SELinux上下文不匹配 #

如果在使用过程中你修改过以下配置，即使没动SELinux本身，也会触发规则拦截：

• 更改了Redis默认监听端口：SELinux默认只允许Redis服务监听6379端口，修改为其他端口后没有添加对应SELinux端口规则，重启后服务就会被阻止绑定端口
• 自定义了Redis数据、日志存储路径：新路径没有添加对应的SELinux上下文标签，systemd启动时Redis服务进程无法访问非授权标签的文件
• 手动修改过Redis配置文件、数据文件的权限/归属，意外覆盖了原有SELinux标签

3. 手动启动与systemd启动的安全上下文差异 #

你手动执行/usr/bin/redis-server /etc/redis.conf时使用的是当前登录用户的unconfined_t安全域，该域权限极高几乎不受SELinux规则限制，所以可以正常启动。而通过systemd启动Redis时，服务会切换到受限的redis_t安全域，只能访问带有Redis对应授权标签的资源，就会触发权限拦截报错。 #

建议永久修复方案（无需关闭SELinux） #

• 若修改过Redis默认端口，执行命令添加端口规则：

  semanage port -a -t redis_port_t -p tcp <你的自定义Redis端口>
  

• 恢复Redis默认路径的SELinux上下文标签：

  restorecon -Rv /etc/redis.conf /var/lib/redis /var/log/redis
  

• 若自定义了Redis存储路径，执行命令添加对应上下文规则：

  semanage fcontext -a -t redis_var_lib_t "/自定义存储路径(/.*)?"
  restorecon -Rv /自定义存储路径
  

内容的提问来源于stack exchange，提问作者Mohsen Mirhosseini