@hmos-library-adapter/fast 0.0.17-beta.0 → 0.0.17-beta.2

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-checklist.md

@@ -0,0 +1,69 @@
+# OpenHarmony SELinux策略自检
+
+## 概述
+
+根据avc日志转换出来的SELinux策略，不一定都是合理的，需要重新审视配置的SELinux策略，这里提供一些SELinux策略自检建议。
+
+## 涉及应用的SELinux策略自检
+
+目前OpenHarmony SELinux根据应用的三个APL等级，将应用进程的SELinux类型分为对应的三个attribute，将应用数据目录的SELinux类型也分为对应的三个attribute，如下：
+
+| APL等级 | 应用进程归属的attribute | 应用数据目录归属的attribute |
+| -------- | -------- | -------- |
+| normal | normal_hap_attr | normal_hap_data_file_attr |
+| system_basic | system_basic_hap_attr | system_basic_hap_data_file_attr |
+| system_core | system_core_hap_attr | system_core_hap_data_file_attr |
+
+APL说明参考[权限等级说明](../../application-dev/security/AccessToken/app-permission-mgmt-overview.md#权限机制中的基本概念)中的`权限APL等级`。
+
+另外还有一个attribute表示所有应用进程，为hap_domain。
+
+当配置的SELinux策略涉及应用SELinux类型时，需要根据实际的开放范围做对应的修改，比如根据avc日志配置的策略是：
+```text
+allow normal_hap huks_service:binder { call };
+```
+表示允许以normal_hap为标签的应用进程和huks_service进行binder通信。考虑实际情况，huks_service会为所有应用提供huks能力，那么这里的normal_hap应该改为hap_domain，即
+```text
+allow hap_domain huks_service:binder { call };
+```
+
+策略开放范围详细的对应关系，参考下表：
+
+| 面向应用进程的开放范围 | 替换为attribute |
+| -------- | -------- |
+| 所有normal等级的应用 | normal_hap_attr |
+| 所有system_basic等级的应用 | system_basic_hap_attr |
+| 所有system_core等级的应用 | system_core_hap_attr |
+| 所有应用 | hap_domain |
+
+| 面向应用数据目录的开放范围 | 替换为attribute |
+| -------- | -------- |
+| 所有normal等级的应用数据目录 | normal_hap_data_file_attr |
+| 所有system_basic等级的应用数据目录 | system_basic_hap_data_file_attr |
+| 所有system_core等级的应用数据目录 | system_core_hap_data_file_attr |
+| 所有应用的数据目录 | normal_hap_data_file_attr & system_basic_hap_data_file_attr & system_core_hap_data_file_attr |
+
+## 涉及新增ioctl的SELinux策略自检
+
+涉及配置ioctl相关的SELinux策略时，除了配置allow规则以外，还需要根据avc日志对ioctl的ioctlcmd进行限制，否则会导致所有的ioctlcmd权限都被开放，不满足权限最小化原则。例如，有下面的avc日志：
+```text
+#avc:  denied  { ioctl } for  pid=1 comm="init" path="/data/app/el1/bundle/public" dev="mmcblk0p11" ino=652804 ioctlcmd=0x6613 scontext=u:r:init:s0 tcontext=u:object_r:data_app_el1_file:s0 tclass=dir permissive=0
+```
+根据该avc日志配置了允许ioctl的SELinux策略：
+```text
+allow init data_app_el1_file:dir { ioctl };
+```
+同时，还需要根据avc日志中的`ioctlcmd=0x6613`字段，进一步限制ioctl的开放范围：
+```text
+allowxperm init data_app_el1_file:dir ioctl { 0x6613 };
+```
+
+## 使用neverallow对业务做安全防护
+
+neverallow可以阻止不合理的策略配置，因此可以作为安全防护手段，避免本业务的SELinux策略被恶意修改。
+
+例如，主体进程accesstoken_service的数据库文件SELinux类型为accesstoken_data_file。按业务安全需要，该数据库文件理论上只允许本进程读写，那么可以通过neverallow进行限制：
+```text
+neverallow { domain -accesstoken_service } accesstoken_data_file:file *;
+```
+表示不允许除了accesstoken_service以外的其他进程对accesstoken_data_file进行文件操作。

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-compile.md

@@ -0,0 +1,44 @@
+# OpenHarmony SELinux编译与加载
+
+## 策略编译与加载
+
+OpenHarmony SELinux策略编译流程在编译机中进行，加载流程在init进程启动后执行，总体流程如图：
+
+**图1** OpenHarmony SELinux编译和加载流程图
+
+![selinux_structure](./figures/SELinux-policy.png)
+### 策略编译
+OpenHarmony SELinux策略编译主要包括以下流程：
+1. 按`security_classes, initial_sids, access_vectors, glb_perm_def.spt, glb_never_def.spt, mls, policy_cap, glb_te_def.spt, attributes, .te, glb_roles.spt, users, initial_sid_contexts, fs_use, virtfs_contexts`顺序遍历策略目录`//base/security/selinux_adapter/sepolicy/`，得到父目录为system和public的策略文件列表，使用m4宏处理器将策略文件列表拼接成`system.conf`中间文件，这里会决定是否展开隔离宏。同理，遍历得到父目录为vendor和public的策略文件列表，使用m4宏处理器将策略文件列表拼接成`vendor.conf`中间文件，这里也会决定是否展开隔离宏。
+2. 使用开源软件checkpolicy将conf中间文件编译为.cil明文策略文件，得到`system.cil`和`vendor.cil`。
+3. 使用开源软件secilc将`system.cil`和`vendor.cil`进行合并，编译为二进制策略文件。编译时会进行neverallow检查，违反neverallow时会编译报错。参考[OpenHarmony SELinux常见问题](subsys-security-selinux-faq.md)。
+4. 编译后的二进制策略文件会归档到`system.img`中，位于`/system/etc/selinux/targeted/policy/policy.31`。
+
+### 策略加载
+OpenHarmony SELinux策略加载主要经过以下流程：
+1. init进程在启动后，通过开源软件libselinux提供的用户态操作内核态的接口将selinux二进制策略文件加载到内核。
+2. 然后根据配置文件`/system/etc/selinux/config`中SELINUX字段的值设置运行模式，`SELINUX=enforcing`时，设置为强制模式，`SELINUX=permissive`时，设置为宽容模式。从OpenHarmony 3.2开始，OpenHarmony SELinux默认以强制模式运行。
+
+## contexts编译与加载
+OpenHarmony SELinux contexts包括`file_contexts`、`hdf_service_contexts`、`service_contexts`、`parameter_contexts`、`sehap_contexts`。这些文件不随策略编译而编译，需要单独归档。总体流程如图：
+
+**图2** OpenHarmony SELinux contexts编译和加载流程图
+
+![selinux_contexts](./figures/SELinux-contexts.png)
+
+### contexts编译
+OpenHarmony SELinux contexts编译主要包括以下流程：
+1. 分别遍历各类型的contexts文件，得到每个类型contexts的文件列表。
+2. 对列表分别拼接去重，生成contexts中间文件。
+3. 对contexts中间文件中使用的SELinux标签校验合法性，得到contexts文件。
+4. 将contexts归档到`system.img`，位于`/system/etc/selinux/targeted/contexts/`。
+
+### contexts加载
+OpenHarmony SELinux contexts加载按类型不同，加载方式不同：
+| contexts类型 | 加载方 | 用途 |
+| -------- | -------- | -------- |
+| file_contexts | 需要更新文件标签的进程 | 更新文件标签。 |
+| hdf_service_contexts | hdf_devmgr |管控HDF注册与获取。 |
+| service_contexts | samgr | 管控SA注册与获取。 |
+| parameter_contexts | init | 管控参数设置。 |
+| sehap_contexts | appspawn<br>installs | appspawn：设置应用标签。<br>installs：设置应用数据标签。 |

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-develop-intro.md

@@ -0,0 +1,118 @@
+# OpenHarmony SELinux开发说明
+
+## 策略目录结构
+
+OpenHarmony SELinux策略文件存放在`//base/security/selinux_adapter/sepolicy/ohos_policy`路径下，在该目录下策略按以下规范存放：
+```text
+├── 子系统
+│   └── 部件
+│       ├── public
+│       │   └── type1.te
+│       ├── vendor
+│       │   └── type2.te
+│       └── system
+│           └── type3.te
+```
+系统相关策略存放在system目录下，芯片相关策略存放在vendor目录下，系统和芯片共用的策略存放在public目录下。
+
+## 通用策略文件介绍
+
+通用策略文件，是指设备开发者进行SELinux策略配置时，涉及修改的文件。
+
+| 文件名 | 文件说明 |
+| -------- | -------- |
+| *.te | SELinux策略文件，用于定义类型、配置allow策略、配置neverallow策略。 |
+| file_contexts | 实体文件标签映射文件，体现实体文件路径与标签的映射关系。 |
+| virtfs_contexts | 虚拟文件标签映射文件，体现虚拟文件路径与标签的映射关系。 |
+| sehap_contexts | 应用标签映射文件，体现应用关键信息与应用进程标签、应用数据目录标签的映射关系。 |
+| parameter_contexts | 参数标签映射文件，体现参数与标签的映射关系。 |
+| service_contexts | SA服务标签映射文件，体现SA服务与标签的映射关系。 |
+| hdf_service_contexts | HDF服务标签映射文件，体现HDF服务与标签的映射关系。 |
+
+## 基础策略文件介绍
+
+基础策略文件，是指SELinux基础框架的SELinux策略文件，一般不涉及修改。
+
+| 文件名 | 文件说明 |
+| -------- | -------- |
+| security_classes | class定义。 |
+| initial_sids | sid定义。 |
+| access_vectors | class支持的具体permission列表。 |
+| glb_perm_def.spt | class和permission的全局宏定义，可用于简化策略语句。 |
+| glb_never_def.spt | neverallow的全局宏定义，可用于简化策略语句。 |
+| mls | 分层安全级别定义。 |
+| glb_te_def.spt | te规则的全局宏定义，可用于简化策略语句。 |
+| attributes | 一些通用集合，在定义策略类型时可以指定到特定的集合，则该策略类型会继承该集合的权限。 |
+| glb_roles.spt | roles定义。 |
+| users | users定义。 |
+| initial_sid_contexts | sid的初始标签。 |
+| fs_use | 各类型文件系统的默认标签。 |
+
+## avc日志信息
+
+当系统行为被SELinux拦截时，会在内核日志和hilog中打印相关的`avc denied`日志，格式如下：
+```text
+audit: type=1400 audit(1502458430.566:4): avc:  denied  { open } for  pid=1658 comm="setenforce" path="/sys/fs/selinux/enforce" dev="selinuxfs" ino=4 scontext=u:r:hdcd:s0 tcontext=u:object_r:selinuxfs:s0 tclass=file permissive=1
+```
+
+其中：
+  - `open`，表示当前执行的操作权限。
+  - `pid=1658`，表示主体进程`pid`为1658。
+  - `comm="setenforce"`，表示主体进程名为`setenforce`。
+  - `path="/sys/fs/selinux/enforce"`，表示被访问客体为`/sys/fs/selinux/enforce`。
+  - `dev="selinuxfs"`，表示被访问客体属于selinuxfs这一文件系统。
+  - `ino=4`，表示文件节点编号为4。
+  - `scontext=u:r:hdcd:s0`，表示主体SELinux标签为`u:r:hdcd:s0`。
+  - `tcontext=u:object_r:selinuxfs:s0`，表示被访问客体SELinux标签为`u:object_r:selinuxfs:s0`。
+  - `tclass=file`，表示当前执行file的操作类型。
+  - `permissive=1`，表示当前SELinux处于宽容模式，只告警不拦截。另外，当`permissive=0`时，表示强制模式，会告警并拦截。
+
+开发者可以使用关键字`avc denied`来过滤日志，对于影响业务的avc告警，可以利用告警提供的信息来编写相应的SELinux策略，例如：
+```text
+audit: type=1400 audit(1502458430.566:4): avc:  denied  { open } for  pid=1658 comm="setenforce" path="/sys/fs/selinux/enforce" dev="selinuxfs" ino=4 scontext=u:r:hdcd:s0 tcontext=u:object_r:selinuxfs:s0 tclass=file permissive=1
+```
+
+对应TE规则为：
+```text
+allow hdcd selinuxfs:file open;
+```
+
+## 策略格式
+
+SELinux策略，又称SELinux规则，通常以allow或neverallow开头，表示允许或禁止某种行为。在设备上使能SELinux时，SELinux会拦截所有未经allow规则授权的行为，配置allow规则可以放行，neverallow规则主要是拦截危险规则的配置。通常allow规则如下:
+```text
+allow subject object:class permissions;
+```
+  表示允许`subject`对`object`进行`class`中的`permissions`操作，其中：
+  - `subject`表示主体，通常为进程的SELinux类型，如`init`。
+  - `object`表示客体，通常为系统资源的SELinux类型，如`data_file`。
+  - `class`表示要执行的操作的类型，如文件操作file、目录操作dir、套接字操作socket。
+  - `permissions`表示要执行的具体操作，如对文件file的open、read、write。
+
+同理，
+```text
+neverallow subject object:class permissions;
+```
+表示不允许`subject`对`object`进行`class`中的`permissions`操作。
+
+## 策略宏隔离
+
+在考虑设备开发者便利的同时，需要兼顾商用设备安全性，因此OpenHarmony SELinux提供了策略隔离宏，决定在不同版本上策略是否生效。OpenHarmony SELinux中支持对仅在root版本生效的策略做宏隔离，宏名称为`debug_only`。在用于设备开发者调试的root版本中，也就是在版本编译命令中指定`--build-variant root`时，宏开启。在用于商用发布的user版本中，也就是在版本编译命令中指定`--build-variant user`时，宏关闭。该宏的使用方法参考如下:
+```text
+debug_only(`
+    allow ueventd init:fd use;
+')
+```
+
+另外，OpenHarmony SELinux中也支持对开发者模式的策略做宏隔离，宏名称为`developer_only`，该宏默认开启。开发者模式策略是指，为便于使用user版本进行调试开发的开发者，需要开放的一些用于调试的SELinux策略。开发者模式宏的使用方法参考如下:
+```text
+developer_only(`
+    allow sh init:fd use;
+')
+```
+
+| 隔离宏 | root版本 | root版本开发者模式 | user版本 | user版本开发者模式 |
+| -------- | -------- | -------- | -------- | -------- |
+| 未隔离的策略 | 生效 | 生效 | 生效 | 生效 |
+| debug_only隔离的策略 | 生效 |生效 | 不生效 | 不生效 |
+| developer_only隔离的策略 | 不生效 | 生效 | 不生效 | 生效 |

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-faq.md

@@ -0,0 +1,75 @@
+# OpenHarmony SELinux常见问题
+
+## neverallow编译报错处理
+**现象描述**
+
+编译SELinux时会进行neverallow检查，当配置的策略不合理时，可能出现违反neverallow规则导致编译报错。
+
+```
+neverallow check failed at obj/base/security/selinux_adapter/updater/system.cil:3887 from ../../base/security/selinux_adapter/sepolicy/base/public/domain.te:96
+  (neverallow domain dev_parameters_file (file (write)))
+    <root>
+    allow at obj/base/security/selinux_adapter/updater/system.cil:14124
+      (allow init dev_parameters_file (file (write create relabelfrom relabelto)))
+```
+
+**可能原因**
+
+配置的策略不合理，违反neverallow，需要重新审视。
+
+**解决方法**
+
+当违反neverallow时，需要审视当前配置的策略合理性，尽量避免违反neverallow。确实应业务需要，必须屏蔽neverallow检查时，将违反neverallow的SELinux类型在neverallow策略中进行豁免，例如：
+```text
+违反的策略：allow init dev_parameters_file:file { write };
+修改前：neverallow domain dev_parameters_file:file 
+修改后：neverallow { domain -init } dev_parameters_file:file write;
+```
+
+## unrecognized character报错
+
+**现象描述**
+
+编译SELinux时会检查文件是否为unix格式，当配置的策略文件格式不正确时，可能出现编译报错。
+
+```
+' on line 3350:rity/selinux_adapter/sepolicy/base/public/domain.te:16:ERROR 'unrecognized character' at token '
+allow domain init:process sigchld;
+```
+
+**可能原因**
+
+新增的策略文件格式为dos格式。
+
+**解决方法**
+
+使用dos2unix命令转换编译报错中打印的文件：
+```text
+dos2unix ./sepolicy/base/public/domain.te
+```
+
+## unknown type报错
+**现象描述**
+
+编译SELinux时会检查SELinux类型是否定义，没定义或者定义位置错误时，会出现编译报错。
+```
+../../base/security/selinux_adapter/sepolicy/ohos_policy/security/access_token/vendor/access_token.te:2:ERROR 'unknown type accesstoken_data_file' at token ';' on line 10334:
+allow accesstoken_service accesstoken_data_file:dir { search add_name open read write remove_name };
+#line 1 "../../base/security/selinux_adapter/sepolicy/ohos_policy/security/access_token/vendor/access_token.te"
+checkpolicy:  error(s) encountered while parsing configuration
+```
+
+**可能原因1 & 解决方法**
+
+SELinux类型未定义。
+
+排查是否有进行定义，如果未定义则需要使用type进行定义，格式如下：
+```text
+type init, xxx
+```
+
+**可能原因2 & 解决方法**
+
+SELinux类型定义在当前策略编译时不可见。比如在system子目录定义某个SELinux类型，在vendor子目录使用这个SELinux类型，由于芯片相关的策略编译时遍历的策略是vendor子目录和public子目录，不会遍历system子目录，所以会出现unknown type问题。
+  
+排查在当前策略编译时是否不可见，将SELinux类型定义移到编译可见目录下，一般SELinux类型定义位置最好在public子目录下，且文件命名为type.te。

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-func.md

@@ -0,0 +1,39 @@
+# OpenHarmony SELinux对外接口说明
+
+## 概述
+
+SELinux对外提供更新文件或目录SELinux标签的接口。
+
+## 接口说明
+
+所有接口均为Native C内部接口，仅提供底层能力，不对应用开放。相关接口列表如下：
+
+| 接口名 | 接口说明 | 参数说明 |
+| --------- | ---------- | ---------- |
+| int **Restorecon**(const char *path); | **接口功能**：更新单个文件或者目录的标签，不递归遍历子目录。<br/>**返回值**：0表示成功，其他返回值表示失败。 | path表示绝对路径。 |
+| int **RestoreconRecurse**(const char *path); | **接口功能**：单线程更新文件或者目录的标签，递归遍历更新子目录和文件标签。<br/>**返回值**：0表示成功，其他返回值表示失败。 | path表示绝对路径。 |
+| int **RestoreconRecurseParallel**(const char *path, unsigned int nthreads); | **接口功能**：多线程更新文件或者目录的标签，递归遍历更新子目录和文件标签。<br/>**返回值**：0表示成功，其他返回值表示失败。 | path表示绝对路径。<br/>nthreads表示线程个数。 |
+| int **RestoreconRecurseForce**(const char *path); | **接口功能**：单线程强制更新文件或者目录的标签，递归遍历更新子目录和文件标签。<br/>**返回值**：0表示成功，其他返回值表示失败。 | path表示绝对路径。 |
+| int **RestoreconFromParentDir**(const char *path); | **接口功能**：根据当前路径的父目录标签，单线程更新当前路径的标签，递归遍历更新整个目录。<br/>**返回值**：0表示成功，其他返回值表示失败。 | path表示绝对路径。 |
+
+## 开发步骤
+
+1. 编译依赖添加
+
+    ```text
+    external_deps += [ "selinux_adapter:librestorecon" ]
+    ```
+
+2. 头文件依赖添加
+
+    ```cpp
+    #include "policycoreutils.h"
+    ```
+
+3. 接口调用
+
+    以Restorecon接口为例：
+    ```cpp
+    // 更新/data路径标签：
+    int ret = Restorecon("/data");
+    ```

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-mcs.md

@@ -0,0 +1,49 @@
+# OpenHarmony SELinux支持MCS
+
+## MCS背景介绍
+
+Multi-Category Security(MCS)是SELinux强制访问控制的一种模式，通过类别(Category)划分资源访问权限，确保进程仅能访问与其类别相匹配的资源。
+
+## MCS开关配置
+当前MCS默认为开启状态，需要关闭MCS时，可在selinux_adapter部件里配置selinux_adapter_mcs_enable=false。
+
+## MCS安全级别配置
+
+  为应用进程和应用数据目录添加MCS配置，需要保证MCS开关开启。
+
+  然后在`sehap_contexts`配置文件中按需配置levelFrom和user，如果未配置user，默认为user=u。示例如下：
+  ```text
+  apl=normal debuggable=true domain=debug_hap type=debug_hap_data_file levelFrom=all user=o
+  ```
+
+  配置user时，如果user未定义，需要先在users策略文件里定义。示例如下：
+  ```text
+  user o roles { r } level s0 range s0 - s0:c0.x1279;
+  ```
+
+  也可以在`product_config`配置文件中，配置默认levelFrom和user，如果未配置user，默认为user=u。示例如下：
+
+  ```text
+  defaultLevelFrom=user
+  defaultUser=o
+  ```
+
+  配置levelFrom时，安全级别可选配置如下：
+
+ | levelFrom | 释义 | level级别 |
+ | -------- | ---- | ------------- |
+ | app | 根据appId确认级别。 | "s0:x%u,x%u,x%u", appId & 0xff, 256 + (appId>>8 & 0xff), 512 + (appId>>16 & 0xff)|
+ | user | 根据userId确认级别。 | "s0:x%u,x%u", 768 + (userId & 0xff), 1024 + (userId>>8 & 0xff) |
+ | all | 根据进程appId和userId确认级别。 | "s0:x%u,x%u,x%u,x%u,x%u", appId & 0xff, 256 + (appId>>8 & 0xff), 512 + (appId>>16 & 0xff), 768 + (userId & 0xff), 1024 + (userId>>8 & 0xff) |
+
+## MCS生效验证
+
+开启MCS并配置安全级别后，使用命令`ps -efZ`查询MCS配置状况。示例如下：
+```text
+o:r:normal_hap:s0:x55,x334,x512,x868,x1024
+```
+
+进入应用数据目录，使用命令`ls -lZ`查询应用数据目录MCS配置状况。示例如下：
+```text
+o:object_r:normal_hap_data_file:s0:x55,x334,x512,x868,x1024
+```

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-overview.md

@@ -0,0 +1,59 @@
+# OpenHarmony SELinux概述
+
+## 简介
+
+OpenHarmony结合系统架构特点，基于安全增强式Linux（**S**ecurity-**E**nhanced **Linux**
+，以下简称SELinux）对OpenHarmony操作系统内文件、参数、SA、HDF等系统资源提供强制访问控制保护能力。本文基于SELinux访问控制模型，提供OpenHarmony SELinux功能的开发指导。
+
+OpenHarmony SELinux支持以下功能：
+
+1. 支持访问参数、SA、HDF管控。
+2. 支持设置应用标签。
+3. 支持策略编译与加载。
+4. 支持contexts编译与加载。
+5. 支持编译时策略合理性检查。
+
+## 基本概念
+
+- **安全上下文**
+
+  安全上下文，也通常称为SELinux标签。OpenHarmony SELinux安全上下文的结构是`user:role:type:sensitivity[:category,...]- sensitivity [:category,...]`：
+  - `user`：用户类型，比如`user u roles { r }`，定义user为u的用户，它属于`role r`。
+  - `role`：角色标识符，角色限制了进程在进程上下文中基于角色标识符可转换的类型，其中文件、参数、SA服务、HDF服务等资源的用户类型使用`object_r`，进程的用户类型使用`r`。
+  - `type`：SELinux类型，在SELinux规则语句中，使用类型定义规则。
+  - `sensitivity`：分层安全级别，不同安全级别不能相互访问，目前OpenHarmony SELinux仅支持一层安全级别`s0`。
+  - `category`：对特定`sensitivity`划分不分层的分类，目前OpenHarmony SELinux已经定义的分类为`c0-c1023`，目前的OpenHarmony SELinux策略上未对category进行区分。
+
+- **主体** 
+
+  表示访问方，主体可以是一个用户、一个进程、一个服务或其他SELinux类型，OpenHarmony SELinux对进程主体分为四大类：Native进程、应用进程、SA进程、HDF进程。
+
+- **客体**
+
+  表示被访问方，客体一般是文件、目录、参数、SA服务、HDF服务等系统资源。
+
+- **sid**
+
+  安全标识符(**S**ecurity **ID**)，用于标识进程、文件或其他SELinux对象的唯一标识符。
+
+- **AVC**
+
+  访问矢量缓存(**A**ccess **V**ector **C**ache)，用于跟踪和缓存有关访问控制决策的信息，以提高系统的性能和安全性。
+
+- **TE**
+
+  类型强制(**T**ype **E**nforcement)，SELinux策略是由多条类型强制规则构成的。
+
+- **运行模式**
+
+  OpenHarmony SELinux支持两种运行模式：
+  + `Enforcing`，强制模式，拦截未授权行为并打印avc告警。
+  + `Permissive`，宽容模式，放行未授权行为并打印avc告警。
+
+## 实现原理
+
+OpenHarmony SELinux通过主体和客体的安全上下文表示主体是否有权限访问客体，在内核态拦截未授权行为。
+
+**图1** OpenHarmony SELinux分层架构图
+
+![selinux_architect](./figures/SELinux-architecture.png)

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-sample-domain.md

@@ -0,0 +1,113 @@
+# OpenHarmony SELinux新增进程策略配置方法
+
+## 新增Native进程
+
+**适用场景**
+
+由init、chipset_init通过cfg文件孵化的Native进程，例如ueventd、installs。
+
+**配置指导**
+
+1. 在本进程的cfg文件中，新增secon字段，建立进程与标签的映射关系。如果未配置secon字段，进程在SELinux使能状态会被拦截启动。
+    ```json
+    {
+        "services" : [{
+                "name" : "demo",
+                "path" : ["/system/bin/demo"],
+                "uid" : "demo",
+                "gid" : ["demo"],
+                "secon" : "u:r:demo:s0"
+            }
+        ]
+    }
+    ```
+2. 在type.te中定义SELinux标签u:r:demo:s0中的SELinux类型demo，使u:r:demo:s0是合法的。
+
+    如果demo是由init孵化，则定义：
+    ```text
+    type demo, native_system_domain, domain;
+    ```
+    如果demo是由chipset_init孵化，则定义：
+    ```text
+    type demo, native_chipset_domain, domain;
+    ```
+
+## 新增SA服务进程
+
+**适用场景**
+
+由init通过cfg文件孵化的SA服务进程，例如accountmgr、foundation。
+
+**配置指导**
+
+1. 在本进程的cfg文件中，新增secon字段，建立进程与标签的映射关系。如果未配置secon字段，进程在SELinux使能状态会被拦截启动。
+    ```json
+    {
+        "services" : [{
+                "name" : "demo",
+                "path" : ["/system/bin/sa_main", "/system/profile/demo.json"],
+                "uid" : "demo",
+                "gid" : ["demo"],
+                "secon" : "u:r:demo:s0"
+            }
+        ]
+    }
+    ```
+2. 在type.te中定义SELinux标签u:r:demo:s0中的SELinux类型demo，使u:r:demo:s0是合法的。
+    ```text
+    type demo, sadomain, domain;
+    ```
+
+## 新增HDF服务进程
+
+**适用场景**
+
+由init、chipset_init通过cfg文件孵化的HDF服务进程，例如wifi_host、camera_host。
+
+**配置指导**
+
+1. 在本进程的cfg文件中，新增secon字段，建立进程与标签的映射关系。如果未配置secon字段，进程在SELinux使能状态会被拦截启动。
+    ```json
+    {
+        "services" : [{
+                "name" : "demo",
+                "path" : ["/vendor/bin/hdf_devhost", "0", "demo"],
+                "uid" : "demo",
+                "gid" : ["demo"],
+                "secon" : "u:r:demo:s0"
+            }
+        ]
+    }
+    ```
+
+2. 在type.te中定义SELinux标签u:r:demo:s0中的SELinux类型demo，使u:r:demo:s0是合法的。
+    ```text
+    type demo, hdfdomain, domain;
+    ```
+
+## 新增应用进程
+
+**适用场景**
+
+由appspawn孵化的系统应用进程，期望以独立标签运行，例如`com.ohos.permissionmanager`。
+
+**配置指导**
+
+1. 在sehap_contexts文件中，建立应用APL等级、包名与应用进程标签、数据目录标签的映射关系。这里表示，当安装的应用APL为normal且包名为`com.ohos.permissionmanager`时，安装的应用数据目录标签会被配置为`u:object_r:permissionmanager_hap_data_file:s0`，应用运行时的进程标签会被配置为`u:r:permissionmanager_hap:s0`。
+    ```text
+    apl=normal name=com.ohos.permissionmanager domain=permissionmanager_hap type=permissionmanager_hap_data_file
+    ```
+    APL说明参考[权限等级说明](../../application-dev/security/AccessToken/app-permission-mgmt-overview.md#权限机制中的基本概念)中的`权限APL等级`。
+2. 在type.te中定义`permissionmanager_hap`和`permissionmanager_hap_data_file`，使`u:r:permissionmanager_hap:s0`和`u:object_r:permissionmanager_hap_data_file:s0`是合法的。
+    ```text
+    type permissionmanager_hap, normal_hap_attr, hap_domain, domain;
+    type permissionmanager_hap_data_file, normal_hap_data_file_attr, hap_file_attr, data_file_attr, file_attr;
+    ```
+    这里使用APL等级为normal的应用作为示例，其他APL等级的应用参考下表配置：
+
+    **表1** APL等级与应用attribute归属对应关系
+    | APL等级 | 应用进程attribute归属 | 应用数据目录attribute归属 |
+    | -------- | -------- | -------- |
+    | normal | normal_hap_attr | normal_hap_data_file_attr |
+    | system_basic | system_basic_hap_attr | system_basic_hap_data_file_attr |
+    | system_core | system_core_hap_attr | system_core_hap_data_file_attr |

package/node_modules/@ohos-agent/pc-adapter/skills/openharmony-device-porting/references-full/subsystems/subsys-security-selinux-sample-file.md

@@ -0,0 +1,68 @@
+# OpenHarmony SELinux新增文件策略配置方法
+
+## 只读分区新增文件
+
+**适用场景**
+
+为避免对文件系统恶意破坏，OpenHarmony将部分镜像挂载为只读，如system.img、vendor.img，这些镜像内的文件在编译阶段就会被赋予SELinux标签。
+
+**配置指导**
+1. 在file_contexts中，建立文件绝对路径与文件标签的映射关系，可以使用正则表达式。
+    ```text
+    /system/lib(/.*)?    u:object_r:system_lib_file:s0
+    ```
+2. 在type.te中定义system_lib_file，使u:object_r:system_lib_file:s0是合法的。
+    ```text
+    type system_lib_file, system_file_attr, file_attr;
+    ```
+
+## 读写分区新增文件
+
+**适用场景**
+
+在OpenHarmony操作系统中，存在一些读写分区，如/data目录为用户数据存储目录，通常用来存储应用程序和用户产生的数据，允许应用程序在其中创建、读取和写入文件，这些文件一般是动态生成的，默认会继承父目录的标签，在业务安全防护需要时，可以在文件创建完成后为其配置独立的文件标签。
+
+
+**配置指导**
+1. 在file_contexts中，建立文件绝对路径与文件标签的映射关系，可以使用正则表达式。
+    ```text
+    /data/service/el0(/.*)?    u:object_r:data_service_el0_file:s0
+    ```
+2. 在type.te中定义data_service_el0_file，使u:object_r:data_service_el0_file:s0是合法的。
+    ```text
+    type data_service_el0_file, file_attr, data_file_attr;
+    ```
+3. 使标签生效，file_contexts只是映射了文件路径和标签的对应关系，标签不会自动更新到文件上，需要进程主动触发标签更新操作。按文件创建的时机，可以分为以下场景：
+      | 适用场景 | 更新标签位置 |
+      | -------- | -------- |
+      | 通过init从cfg拉起的进程，在cfg内使用mkdir创建目录或文件 | 由于init在解析cfg中的mkdir命令时，已经集成了SELinux更新标签函数Restorecon，所以mkdir会更新标签 |
+      | 在开机阶段cfg内使用mkdir创建的目录或文件 | 由于init在解析cfg中的mkdir命令时，已经集成了SELinux更新标签函数Restorecon，所以mkdir会更新标签 |
+      | 在进程运行期间，由进程本身创建的目录或文件 | 需要进程在创建目录或文件后，调用SELinux更新标签函数Restorecon更新标签 |
+
+      其中，SELinux更新标签函数参考[OpenHarmony SELinux对外接口](subsys-security-selinux-func.md)。
+
+4. 调试阶段，可以使用restorecon命令刷新文件或者目录的标签。刷新目录标签时，它会遍历刷新其子目录和文件的标签。命令使用方法：
+    ```bash
+    restorecon path
+    ```
+    **参数：**
+    | 参数名 | 类型 | 必填 | 描述 |
+    | ------ | -----| ----- | -------- |
+    | path | string | 是 | 文件或者目录的绝对路径。 |
+
+## 虚拟文件系统新增文件
+
+**适用场景**
+
+对于虚拟文件系统，例如/proc、/sys等目录下的文件标签，可以在 virtfs_contexts文件内对文件或目录进行标签配置。
+
+
+**配置指导**
+1. 虚拟文件系统的标签映射方式和普通文件系统的标签映射方式不一样，在virtfs_contexts中，用genfscon语法来配置。
+    ```text
+    genfscon  proc /iomem  u:object_r:proc_iomem_file:s0
+    ```
+2. 在type.te中定义`proc_iomem_file`，使`u:object_r:proc_iomem_file:s0`是合法的。
+    ```text
+    type proc_iomem_file, fs_attr, proc_attr;
+    ```