SELinux的用户域（User Domain）和进程上下文映射是CentOS安全体系中最核心也最容易被忽视的机制。简单来说，SELinux通过将每个登录用户映射到一个特定的用户域（如user_u、staff_u、sysadm_u），再将该域下启动的所有进程自动归入对应的进程上下文（如user_t、staff_t、sysadm_t），从而实现对进程权限的细粒度控制。你在CentOS上遇到的"权限拒绝"报错，绝大多数情况下不是文件权限问题，而是进程上下文和目标资源的安全上下文不匹配导致的。理解这个映射关系，是真正掌握SELinux的第一步。
什么是SELinux用户域
SELinux用户域和Linux系统用户不是一回事。Linux用户是你用useradd创建的账户，而SELinux用户是SELinux策略中定义的安全身份标识。CentOS 7/8/9默认使用targeted策略，其中预定义了多个SELinux用户。每个SELinux用户都有一个或多个关联的角色（Role），角色再关联到域（Domain），域最终决定了进程能访问什么资源。
你可以用以下命令查看当前系统所有SELinux用户：
semanage user -l
典型输出如下：
SELinux User SELinux Role MLS/MCS Range __default__ system_r s0 system_u system_r s0 staff_u staff_r s0 sysadm_u sysadm_r s0 unconfined_u unconfined_r s0
其中最常用的是staff_u（普通用户）和sysadm_u（系统管理员）。__default__是系统内部使用的，unconfined_u则几乎不受SELinux约束。
SELinux用户与Linux用户的映射关系
每个Linux系统用户都会被映射到一个SELinux用户。这个映射关系存储在SELinux策略数据库中，可以通过semanage命令查看和修改。查看当前映射：
semanage login -l
输出示例：
Login Name SELinux User MLS/MCS Range __default__ __default__ s0 root unconfined_u s0 system_u system_u s0 user1 staff_u s0
这里可以看到，root用户被映射到unconfined_u，这意味着root启动的进程几乎不受SELinux限制。普通用户user1被映射到staff_u，其进程只能在staff_t域中运行。如果你想把某个用户提升权限，可以修改映射关系：
semanage login -a -s staff_u -r s0 myuser
这条命令将myuser映射到staff_u域。如果要给更高权限：
semanage login -m -s sysadm_u myuser
进程上下文是如何从用户域派生出来的
当一个用户登录系统并启动进程时，SELinux会根据以下逻辑链自动分配进程的安全上下文：SELinux用户 → 角色 → 域（Domain）。进程的类型（Type）就是域的名称加上_t后缀。例如staff_u用户通过staff_r角色，最终进入staff_t域，所有该用户启动的进程都以staff_t类型运行。
你可以用ps命令验证这一点：
ps -eZ | grep staff
输出类似：
staff_u:staff_r:staff_t:s0 1234 ? 00:00:00 bash staff_u:staff_r:staff_t:s0 1235 ? 00:00:00 ps
这个格式是"用户:角色:类型:敏感度"。类型（Type）字段就是进程上下文的核心标识，SELinux策略中所有的访问控制规则都是基于类型来定义的。
域转换（Domain Transition）机制详解
进程上下文并不是一成不变的。SELinux提供了域转换机制，允许进程在特定条件下从一个域切换到另一个域。这是SELinux实现最小权限原则的关键手段。最典型的场景是：一个以user_t运行的进程，通过执行一个标记为特定类型的可执行文件，切换到目标域。
例如，当你用passwd命令修改密码时，passwd程序本身是passwd_exec_t类型，当它被user_t域的进程执行后，会自动转换到passwd_t域运行。这是因为策略中定义了类型转换规则：
type_transition user_t passwd_exec_t:process passwd_t;
你可以用sesearch命令查看所有类型转换规则：
sesearch -T -s user_t -t passwd_t
另一种域转换方式是通过sudo。普通用户通过sudo执行命令时，进程会从staff_t转换到sudo_t，再根据具体命令转换到目标域。查看sudo相关的转换规则：
sesearch -T -s staff_t -t sudo_t
进程上下文与文件上下文的匹配规则
SELinux访问控制的本质是：进程的类型（Type）必须被策略允许访问目标资源的类型。每个文件、目录、端口、socket都有自己的安全上下文。当进程尝试访问资源时，内核会查询策略数据库，判断是否存在允许规则（allow rule）。
查看文件的安全上下文：
ls -Z /var/www/html/
查看进程尝试访问时的拒绝日志：
ausearch -m avc -ts recent
如果你看到类似"type=AVC msg=audit(...) : avc: denied { read } for pid=1234 comm="httpd" name="index.html" dev="sda1" ino=5678 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_home_t:s0"的日志，说明httpd_t进程试图读取user_home_t类型的文件，被策略拒绝了。
如何修复进程上下文不匹配的问题
遇到SELinux拒绝问题，有两种解决思路：修复上下文标签或者调整策略。修复上下文是最安全的做法，使用restorecon命令恢复默认标签：
restorecon -Rv /var/www/html/
如果是自定义文件，需要手动设置正确的类型：
semanage fcontext -a -t httpd_sys_content_t "/myweb(/.*)?" restorecon -Rv /myweb/
如果确实需要放宽策略，可以使用audit2allow工具根据拒绝日志自动生成允许规则：
ausearch -m avc -ts recent | audit2allow -M mypolicy semodule -i mypolicy.pp
但要注意，audit2allow生成的规则可能过于宽泛，生产环境建议手动审查后再部署。
用户域切换的实际应用场景
在实际运维中，用户域映射有几个典型应用场景。第一是多租户隔离：不同租户的Linux用户映射到不同的SELinux用户，确保他们的进程无法互相访问。第二是服务账户管理：为特定服务创建专用SELinux用户，如apache用户映射到system_u，限制其只能访问httpd相关资源。第三是特权提升控制：不建议直接给用户unconfined_u映射，而是通过sudo和域转换机制实现按需提权。
创建专用服务用户并映射的示例：
useradd -r -s /sbin/nologin myappuser semanage login -a -s system_u -r s0 myappuser
查看和管理完整的上下文映射链
要全面了解一个用户的完整安全路径，可以组合使用多个工具。查看用户的SELinux用户映射、角色分配和可进入的域：
semanage user -l | grep staff_u seinfo -r -x | grep staff_r seinfo -t -x | grep staff_t
seinfo命令可以列出所有角色和类型的详细信息，包括它们之间的关联关系。对于复杂环境，建议使用sestatus查看当前SELinux模式和策略：
sestatus
确认当前是enforcing模式（强制执行）还是permissive模式（仅记录不拦截）。生产环境务必保持enforcing模式。
常见误区和最佳实践
很多管理员遇到SELinux问题的第一反应是setenforce 0关闭它，这是极其危险的做法。正确的做法是理解拒绝日志、定位上下文不匹配的根源、修复标签或精准调整策略。另外，不要随意将用户映射到unconfined_u，这等于完全绕过了SELinux保护。最佳实践是保持默认映射，通过sudo和类型转换实现必要的权限提升。定期使用semanage和audit2review工具审计策略，确保没有多余的宽松规则。
总结来说，SELinux用户域和进程上下文映射是一套精密的安全隔离体系。用户域决定了进程的起点，域转换决定了进程的权限边界，类型匹配决定了每一次访问是否被允许。掌握这套机制，你就能从根本上理解CentOS的强制访问控制，而不是停留在表面的文件权限层面。
