如何在不重新启动的情况下重新标记 SELINUX 文件系统？

Question

我可以触摸文件 /.autorelabel 并重新启动，在初始化期间恢复它将为我执行 SELINUX 重新标签。但我想在系统刚刚复制到硬盘驱动器映像的不同情况下执行此操作。我可以 chroot 到原始文件树，或者 chroot 到刚刚填充的设备映像并运行它。我只是找不到任何说明要运行什么的内容。

该映像正在 AWS EC2 上制作成 AMI，并包含 CentOS 6.3。但重新贴标签所需的时间太长（6分钟或更长）。我想将重新标签移至映像构建，其中额外的时间不是问题（因为它发生一次，而不是每次启动 AMI 时发生）。我可以将此重新标签作为文件系统最后一次卸载之前的最后一件事，直到它成为 AMI 并将启动。我只需要知道该打电话做什么就可以了。

我搜索了手册页但没有成功。我搜索了系统初始化脚本，但在检测到 /.autorelabel 的地方，尚不清楚发生了什么。

像http://www.centos.org/docs/5/html/5.2/Deployment_Guide/sec-sel-fsrelabel.html这样的文档只告诉如何做重启后仍然有效的事情。我需要在“重新启动”之前完成工作（卸载、构建 AMI 并准备启动）。

重点是……是的，将会重新启动……但我希望在此之前完成重新标记工作，这样就不会在每次启动 AMI 时都完成（因为需要很长时间）。

Answer 1

如果要将文件从一个文件系统复制到另一个文件系统，您可以：

• 如果使用cp，请添加-c复制 SELinux 上下文的选项。
• 如果使用tar，请添加--selinux复制 SELinux 上下文的选项。

假设上下文一开始就是正确的，这可以通过确保目标文件具有预期的上下文来节省您一些时间。

至于fixfiles，它是 的包装restorecon，这是我通常使用的。当/.autorelabel存在时，初始化脚本运行restorecon -p -r /，打印点六分钟，然后重新启动。我更喜欢-v详细列出已更改的上下文，而不是-p. 无论哪种方式，您都应该chroot在运行之前进入文件系统。