04 SELinux的认识配置及ntp时间同步服务的配置与应用

本节承接前文 SSH 免密登录配置完成两大系统底层优化配置关闭 SELinux 安全拦截模块、搭建集群内网 NTP 统一时间服务。大数据集群运行过程中 SELinux 极易拦截文件读写、端口访问、节点通信行为直接关闭可规避大量莫名报错多台虚拟机长时间运行会产生时间偏差日志打印、任务调度、集群选举机制全部依赖统一时间戳时间同步是集群稳定运行的硬性要求。一、SELinux 基础理论讲解1.1 SELinux 基本介绍SELinux 全称Secure Enhanced Linux安全增强型 Linux由美国国家安全局 NSA 联合 SCC 安全计算公司共同开发属于 Linux 系统内核级的强制访问控制安全模块用来管控进程、文件、端口之间的访问权限加固系统安全防线。DAC 自由访问控制依托文件所有者、用户组权限进行访问放行普通文件 rwx 权限就属于 DAC 机制权限管控粒度粗进程拿到用户身份即可随意访问归属文件安全防护较弱。MAC 强制访问控制SELinux 基于 MAC 机制运行无视文件基础权限系统给所有文件、进程打上专属安全标签由系统策略统一校验访问资格即便 root 账号也会被 SELinux 拦截非法行为安全性更高。1.2 SELinux 主体、对象与校验机制对象 (object)被访问的资源包含文件、目录、进程、端口、套接字等系统资源。主体 (subject)发起访问行为的各类系统进程。系统会为所有文件分配type类型标签所有进程分配domain域标签domain 域能够操作哪些文件 type全部由内置安全策略定义。 当进程主体访问文件 / 端口对象时内核策略服务会读取AVC 访问矢量缓存快速匹配主体与对象的标签权限根据匹配结果放行或者拒绝本次访问行为。安全策略本质是一套规则数据库记录了不同域进程以何种方式访问对应文件标签是否合法是 SELinux 所有拦截、放行行为的判断依据。1.3 SELinux 四种工作模式strictCentOS5 使用系统全部进程都会被 SELinux 严格管控限制极强新版本系统已经淘汰不用。targeted系统默认模式只监控系统常用网络服务进程普通本地进程不受管控平衡了安全性与易用性CentOS7 系统默认采用该模式。minimumCentOS7 衍生模式仅对指定的网络服务加载安全策略兼容性、稳定性较差生产环境基本不使用。mls多级安全防护机制多用于军工、涉密等高安全场景普通服务器、大数据集群无需部署。实操结论大数据学习环境、测试集群直接永久关闭 SELinux消除各类权限拦截问题。二、SELinux 临时状态切换 永久关闭配置2.1 查看 SELinux 当前运行状态运行getenforce命令释义读取 SELinux 实时运行状态新装系统默认输出Enforcing强制开启模式违规访问直接拦截2.2 临时关闭 SELinux重启虚拟机失效运行setenforce 0释义0 代表宽松模式 Permissive只会记录违规日志不会拦截程序访问运行getenforce执行后输出Permissive代表临时关闭成功运行setenforce 1 getenforcesetenforce 1重新切回强制拦截模式 Enforcing注意setenforce 命令只修改内存中的运行状态修改配置文件才能实现永久关闭。2.3 修改配置文件永久禁用 SELinux进入 SELinux 配置目录运行cd /etc/selinux/ ll目录内config为 SELinux 主配置文件targeted文件夹存放安全策略文件。编辑配置文件运行vim config按下I进入编辑模式找到SELINUXenforcing这一行修改为SELINUXdisableddisabled彻底关闭 SELinux系统开机不会加载任何 SELinux 安全策略 修改完成按ESC输入:wq保存退出文件。配置生效必须重启系统 此时再次执行getenforce依旧显示 Enforcing配置写入文件但未加载需要重启系统生效。运行init 6 # init 0 为关机命令init 6 为系统重启命令重启后校验状态 虚拟机重启、Xshell 重新连接后执行运行getenforce输出disabled代表 SELinux 永久关闭配置完成后续无需重复配置。三、NTP 时间同步服务配置hadoop01 作为服务端02、03 作为客户端虚拟机长期休眠、挂起会造成系统本地时间漂移不一致集群日志时间错乱、任务调度异常、Zookeeper/Hadoop 集群通信异常本节搭建内网 NTP 服务统一校准三台机器时间。3.1 在 hadoop01 节点部署 NTP 服务端3.1.1 安装 ntp 服务程序运行yum -y install ntp安装完毕终端出现Complete!即为安装成功。3.1.2 手动校准本机系统时间运行date执行查看当前系统时间虚拟化环境时间普遍和北京时间存在偏差手动修改为真实北京时间运行date -s 2026-07-22 15:22:02依照自己当下真实北京时间填写对应时间字符串即可。3.1.3 修改 ntp 主配置文件运行vim /etc/ntp.conf按下I进入编辑删除系统默认的四个外网公共时间池配置plaintextserver 0.centos.pool.ntp.org iburst server 1.centos.pool.ntp.org iburst server 2.centos.pool.ntp.org iburst server 3.centos.pool.ntp.org iburst在原位置新增两行本地时钟配置plaintextserver 127.127.1.0 fudge 127.127.1.0 stratum 10参数说明127.127.1.0代表读取本机硬件系统时钟作为内网集群的时间基准源stratum 10定义本机时钟层级为 10层级数值越大精准度越低仅作为内网同步源使用完全够用稀土掘金。编辑完成:wq保存文件。3.1.4 设置 ntp 服务开机自启并立即启动服务运行# 设置开机自动启动ntp服务 systemctl enable ntpd # 立刻启动当前ntp服务 systemctl start ntpdhadoop01 时间服务端搭建全部完成。3.2 在 hadoop02、hadoop03 部署 NTP 客户端两台从节点执行一模一样的操作3.2.1 安装同步工具 ntpdate运行yum -y install ntpdate3.2.2 执行同步命令对齐服务端时间先在三台机器分别执行date可以观察 02、03 时间和 01 存在差值在两台客户端执行同步指令运行ntpdate hadoop01.org依托前文配置的 hosts 域名映射直接通过主机名同步 hadoop01 的标准时间。 同步完成再次执行date三台虚拟机时间完全一致。3.2.3 配置客户端开机自动同步时间运行systemctl enable ntpdate设置开机自动执行时间同步虚拟机重启后无需手动执行命令自动对齐集群标准时间。四、本节整体校验标准所有节点执行getenforce返回 disabledSELinux 永久关闭hadoop01 的 ntpd 服务正常运行02、03 可正常使用 ntpdate 同步时间三台虚拟机系统时间保持统一无时间偏移问题。五、本节小结弄懂 SELinux 的 MAC 强制访问控制运行逻辑区分 Enforcing、Permissive、Disabled 三种状态掌握临时关闭与永久关闭整套操作理解大数据环境关闭 SELinux 的实际意义规避各类文件、端口访问拦截报错掌握内网 NTP 单机服务端 多客户端架构部署学会手动校准系统时间、修改 ntp 配置、开机自启配置依靠 ntpdate 完成集群所有节点时间统一解决虚拟机时间漂移问题补齐集群运行的底层时间环境。