如何在CentOS7下为搭配外部Nginx的GitLab配置SELinux？

我处理过不少CentOS上GitLab搭配外部Nginx遇到SELinux的问题，你这个情况典型得很——禁用SELinux就正常，启用就跪，十有八九是SELinux的上下文或者权限策略没配对。咱们一步步来搞定：

1. 先确认SELinux状态和错误日志 #

首先得把问题的实锤拿到手：

• 检查SELinux当前模式：执行sestatus，确保输出里Current mode是enforcing（毕竟你说启用后出问题）
• 查看SELinux的拒绝记录：这是定位问题的关键，执行grep -E 'gitlab|nginx' /var/log/audit/audit.log，里面会明确显示哪些操作被SELinux拦住了，比如文件访问被拒、端口权限不够之类的。

2. 修复GitLab文件的SELinux上下文 #

GitLab的静态文件、上传目录还有通信socket的SELinux标签不对的话，Nginx根本碰不到它们：

• 给GitLab的公共静态目录设置正确的上下文：

  semanage fcontext -a -t httpd_sys_content_t '/opt/gitlab/embedded/service/gitlab-rails/public(/.*)?'
  restorecon -Rv /opt/gitlab/embedded/service/gitlab-rails/public
  

• 给上传目录设置可读写的上下文：

  semanage fcontext -a -t httpd_sys_rw_content_t '/var/opt/gitlab/gitlab-rails/uploads(/.*)?'
  restorecon -Rv /var/opt/gitlab/gitlab-rails/uploads
  

• 如果你的GitLab和Nginx用Unix socket通信（默认是这个方式），给socket文件设置标签：

  semanage fcontext -a -t httpd_var_run_t '/var/opt/gitlab/gitlab-workhorse/socket'
  restorecon -v /var/opt/gitlab/gitlab-workhorse/socket
  

3. 允许Nginx连接GitLab后端 #

SELinux默认会阻止Nginx和后端服务通信，得开对应的布尔值：

• 允许Nginx发起网络/本地socket连接：setsebool -P httpd_can_network_connect 1（加-P是永久生效，重启不丢）
• 如果GitLab用TCP端口（比如默认的8080）和Nginx通信，还要给这个端口加SELinux的http服务标签：

  semanage port -a -t http_port_t -p tcp 8080
  

4. 检查外部Nginx配置文件的上下文 #

如果你的GitLab Nginx配置文件放在非默认目录，或者手动修改过，可能标签不对：

• 比如配置在/etc/nginx/conf.d/gitlab.conf，执行restorecon -v /etc/nginx/conf.d/gitlab.conf就能自动修正标签。

5. 重启服务验证 #

做完上面所有操作后，重启Nginx和GitLab：

systemctl restart nginx
gitlab-ctl restart

现在再访问GitLab应该就能正常打开了。如果还是不行，把audit.log里的拒绝信息贴出来，我再帮你精准定位。

内容的提问来源于stack exchange，提问作者Ｙ ＴＡＫＡＩ