SELinux强制模式下自定义Shell的本地与SSH双登录解决方案

我来帮你搞定这个头疼的SELinux冲突问题——核心原因是本地登录和SSH登录对自定义Shell的SELinux上下文及权限要求不同，手动改单一上下文只能满足其中一种场景，我们需要用更规范的SELinux配置来兼顾两者。

步骤1：确保自定义Shell被系统识别 #

首先，SSH服务默认只允许/etc/shells列表里的Shell登录，先把你的自定义Shell路径加进去：

echo "/othershells/user-shell" >> /etc/shells

执行完可以用cat /etc/shells确认路径已经在列表中。

步骤2：设置正确的SELinux文件上下文 #

系统默认的Shell（比如/bin/bash）的上下文是shell_exec_t，这个类型同时被SSH服务和登录进程兼容。我们要给自定义Shell设置这个永久上下文：

# 添加永久上下文规则
semanage fcontext -a -t shell_exec_t "/othershells/user-shell"
# 应用规则到文件
restorecon -v /othershells/user-shell

执行ls -Z /othershells/user-shell，应该能看到上下文变成system_u:object_r:shell_exec_t:s0（和系统Shell一致）。

步骤3：允许本地登录进程执行该Shell #

如果此时本地登录还是失败，说明SELinux阻止了登录进程（比如login或gdm）执行shell_exec_t类型的文件。我们可以通过以下两种方式解决：

方法A：启用现成的SELinux布尔值

查看并开启login_exec_content布尔值（允许登录程序执行标准Shell类型的文件）：

# 查看当前状态
getsebool login_exec_content
# 永久开启（-P参数保存到重启后）
setsebool -P login_exec_content on

方法B：根据审计日志生成自定义规则

如果布尔值调整没用，查看SELinux审计日志找出具体的拒绝操作，生成针对性的规则：

# 提取最近的AVC拒绝日志并生成模块
ausearch -m avc -ts recent | audit2allow -M local-login-shell
# 加载这个自定义模块
semodule -i local-login-shell.pp

步骤4：验证两种登录方式 #

• 本地登录：在系统登录界面选择user用户登录，确认能正常进入自定义Shell。
• SSH登录：在远程机器执行ssh user@your-server-ip，确认能成功登录并使用自定义Shell。

最后别忘了确保自定义Shell本身有执行权限：chmod +x /othershells/user-shell

内容的提问来源于stack exchange，提问作者Patman