ИМЯ

       restorecon - восстановить SELinux-контексты безопасности файлов по умолчанию.

ОБЗОР

       restorecon [-r|-R] [-m] [-n] [-p] [-v] [-i] [-F] [-W] [-I|-D] [-e directory] pathname ...

       restorecon  [-f  infilename]  [-e  directory]  [-r|-R]  [-m] [-n] [-p] [-v] [-i] [-F] [-W]
       [-I|-D]

ОПИСАНИЕ

       Эта страница руководства содержит описание программы restorecon.

       Эта программа используется в основном для установки  контекста  безопасности  (расширенных
       атрибутов) для одного или нескольких файлов.

       Также  можно  запустить  её  в  любой момент, чтобы исправить некорректные метки, добавить
       поддержку недавно установленной политики или, используя параметр -n , пассивно  проверить,
       соответствуют ли установленные контексты файлов тем контекстам, которые указаны в активной
       политике (поведение по умолчанию).

       Если объект  файла  не  имеет  контекста,  restorecon  запишет  контекст  по  умолчанию  в
       расширенные  атрибуты  объекта файла. Если объект файла имеет контекст, restorecon изменит
       только ту часть контекста безопасности, которая относится к типу.  Параметр  -F  позволяет
       принудительно заменить контекст целиком.

       Если  у файла имеется метка настраиваемого типа SELinux customizable (список настраиваемых
       типов: /etc/selinux/{SELINUXTYPE}/contexts/customizable_types), restorecon выполнит  сброс
       метки только при условии использования параметра -F.

       Эта  программа  аналогична  setfiles, но действует немного другим образом в зависимости от
       значения argv[0].

ПАРАМЕТРЫ

       -e directory
              исключить каталог (чтобы исключить более одного каталога, этот параметр  необходимо
              использовать соответствующее количество раз; необходимо указывать полный путь).

       -f infilename
              infilename содержит список файлов для обработки. Используйте “-” для stdin.

       -F     принудительно  сбросить  контекст,  чтобы  обеспечить соответствие file_context для
              настраиваемых файлов и соответствие контексту файлов  по  умолчанию  для  остальных
              файлов  (меняются  части контекста, связанные с пользователем, ролью, диапазоном, а
              также тип).

       -h, -? показать сведения об использовании и выйти.

       -i     игнорировать файлы, которые не существуют.

       -I     игнорировать дайджест, чтобы принудительно  проверить  метки,  даже  если  хранимый
              дайджест  SHA1 соответствует дайджесту SHA1 файлов спецификации. Затем (при условии
              отсутствия ошибок) дайджест будет обновлён. Более  подробные  сведения  доступны  в
              разделе ПРИМЕЧАНИЯ.

       -D     установить  или  обновить  дайджесты  SHA1  для  любых  каталогов. Используйте этот
              параметр,     чтобы     включить      использование      расширенного      атрибута
              security.restorecon_last.

       -m     не  выполнять  чтение  /proc/mounts для получения списка монтирований без seclabel,
              которые следует исключить из проверок с повторным  проставлением  меток.  Установка
              этого параметра полезна при наличии смонтированной файловой системы без seclabel, в
              которой в расположенном ниже каталоге смонтирована файловая система с seclabel.

       -n     не изменять метки файлов  (пассивная  проверка).  Чтобы  просмотреть  файлы,  метки
              которых были бы изменены, добавьте -v.

       -o outfilename
              этот параметр устарел и больше не поддерживается.

       -p     показывать ход выполнения, выводя количество обработанных файлов (единица измерения
              -  блок  размером  1  КБ  (то  есть  1000  файлов)).  Если  выполняется   повторное
              проставление меток во всей ОС, будет показан примерный процент выполнения. Обратите
              внимание, что параметры -p и -v являются взаимоисключающими.

       -R, -r рекурсивно изменить метки файлов для файлов и каталогов (спускаться по каталогам).

       -v     показать  изменения  в  метках  файлов.  Использование  нескольких  параметров   -v
              увеличивает  уровень детализации. Обратите внимание, что параметры -v и -p являются
              взаимоисключающими.

       -W     показать предупреждения о записях, для которых не обнаружены соответствующие файлы,
              с помощью вывода результатов selabel_stats(3).

       -0     предполагается,  что  разделителем для элементов ввода является символ нуля (вместо
              пробела).  Символы  кавычек  и  обратной  косой  черты  также  считаются   обычными
              символами,   которые  могут  формировать  допустимый  ввод.   Этот  параметр  также
              отключает строку конца файла (end-of-file string), она  обрабатывается,  как  любой
              другой  аргумент.  Это  полезно,  если элементы ввода содержат пробелы, кавычки или
              обратные косые черты. Параметр -print0 GNU find  производит  ввод,  подходящий  для
              этого режима.

       АРГУМЕНТЫ
              pathname ...  Путь к файлу (файлам), для которых следует повторно проставить метки.

ПРИМЕЧАНИЯ

       1.  restorecon  не  переходит  по  символическим  ссылкам  и  по  умолчанию  не работает с
           каталогами рекурсивно.

       2.  Если в pathname указан корневой каталог, установлен параметр  -vR  или  -vr,  а  также
           запущена  система  аудита,  в  журнал  с  меткой  сообщения  FS_RELABEL  автоматически
           записывается событие аудита, которое содержит сообщение о том, что произошло "массовое
           повторное проставление меток".

       3.  Для  повышения  производительности  при  рекурсивном  повторном  проставлении  меток в
           файловых системах (то есть тогда, когда установлен параметр -R или -r ),  параметр  -D
           команды   restorecon  обеспечит  сохранение  дайджеста  SHA1  файлов  спецификации  по
           умолчанию в расширенном атрибуте  с  именем  security.restorecon_last  для  каталогов,
           указанных   в   соответствующих  путях  pathname ...   ,  после  успешного  завершения
           повторного проставления меток. Этот дайджест будет проверен, если  команда  restorecon
           -D  будет  перезапущена с теми же параметрами pathname.  Подробные сведения доступны в
           selinux_restorecon(3).

           Параметр -I позволяет игнорировать дайджест SHA1 из  каждого  каталога,  указанного  в
           pathname ...  , и, при условии, что НЕ установлен параметр -n и установлен рекурсивный
           режим, для файлов будут необходимым образом повторно  проставлены  метки,  а  дайджест
           затем будет обновлён (если не будет ошибок).

СМОТРИТЕ ТАКЖЕ

       setfiles(8), fixfiles(8), load_policy(8), checkpolicy(8), customizable_types(5)

АВТОРЫ

       Эта man-страница была написана Dan Walsh <dwalsh@redhat.com>.  Некоторая часть содержимого
       этой  man-страницы  была  взята  из  man-страницы  setfiles,  написанной   Russell   Coker
       <russell@coker.com.au>.   Программа  была написана Dan Walsh <dwalsh@redhat.com>.  Перевод
       на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.

                                           10 июня 2016                             restorecon(8)