Архитектура ошибки и симптомы сбоя

Сообщение «SELinux: avc: denied { write } for comm="app" name="file" dev=... scontext=... tcontext=... tclass=file» генерируется подсистемой безопасности SELinux (Security-Enhanced Linux / Access Vector Cache). Ошибка означает, что процесс с контекстом безопасности источника (Source Context — scontext) попытался выполнить действие (запись, чтение, привязку к порту) над объектом с целевым контекстом (Target Context — tcontext), но активная политика Mandatory Access Control (MAC) запрещает данную операцию.

Диагностическая таблица параметров сбоя

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Экспресс-анализ ошибки через sealert и ausearch

# Установка утилит анализа SELinux:
sudo dnf install setroubleshoot-server audit

# Поиск последних блокировок AVC:
sudo ausearch -m avc -ts recent

# Получение готовых человекочитаемых рекомендаций по исправлению:
sudo sealert -a /var/log/audit/audit.log

Сценарий 2: Исправление контекста безопасности файлов (restorecon / semanage)

Если файлы были перемещены (mv) или созданы в нестандартной директории:

# Просмотр текущего контекста файла:
ls -lZ /var/www/my_app/storage

# Принудительное назначение постоянного правила контекста (например, для Nginx/Apache):
sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/my_app/storage(/.*)?"

# Применение контекста к файловой системе:
sudo restorecon -R -v /var/www/my_app/storage

Сценарий 3: Включение стандартных булевых переключателей SELinux (SELinux Booleans)

Часто функционал блокируется стандартными флагами безопасности:

# Разрешить веб-серверу сетевые подключения (к БД, внешним API):
sudo setsebool -P httpd_can_network_connect 1

# Разрешить веб-серверу запись в сетевые шары NFS/CIFS:
sudo setsebool -P httpd_use_nfs 1

Сценарий 4: Генерация кастомного модуля политики через audit2allow

Если операция полностью легитимна, но не поддерживается стандартной политикой:

# Генерация и компиляция модуля политики из логов блокировок:
sudo ausearch -m avc -c "app_name" | audit2allow -M my_custom_app_policy

# Установка скомпилированного модуля:
sudo semodule -i my_custom_app_policy.pp