SELinux在CentOS 7中默认启用且处于Enforcing模式，临时关闭用setenforce 0（切换至Permissive），永久关闭需将/etc/selinux/config中SELINUX=enforcing改为SELINUX=disabled并重启系统。
SELinux 在 CentOS 7 中默认启用，但很多服务（比如 Docker、Hadoop、Nginx 配置某些路径、挂载 NFS 卷）会因策略限制直接失败，报错常含 Permission denied 或 AVC denied，且日志里找不到明显配置问题——这时候大概率是 SELinux 拦的。
直接结论：能临时关就先临时关，验证问题是否消失；确认是它导致的，再永久关。别一上来就改配置重启。
怎么快速验证是不是 SELinux 导致的问题
运行 getenforce，如果输出是 Enforcing，说明它正在生效拦截；输出 Permissive 或 Disabled 就不是它。
更进一步，查最近 AVC 拒绝记录：ausearch -m avc -ts recent | head -10，如果有大量条目，基本坐实。
临时切到宽容模式看服务是否立刻恢复：setenforce 0（注意：这不是“关闭”，而是“不执行但记日志”）。
-
setenforce 0立即生效，无需重启 - 此时
getenforce返回Permissive - 若服务恢复正常，说明确实是
SELinux策略冲突，不是权限或配置写错
临时禁用 SELinux 的正确命令和限制
setenforce 0 是唯一可靠方式，不要用 echo 0 > /sys/fs/selinux/enforce ——部分内核版本不认这个接口，且该操作在重启后失效，还可能被 systemd 重置。
常见误区：
-
setenforce 1是重新开启强制模式，不是“启用 SELinux”（它本来就在运行） -
setenforce 0不等于disabled，只是策略不执行，sestatus仍显示 loaded - 该命令需 root 权限，普通用户执行会提示
Permission denied
永久禁用 SELinux 必须改配置文件
修改 /etc/selinux/config，把 SELINUX=enforcing 改成 SELINUX=disabled ——注意不是 permissive，后者仍加载策略、占内存、写日志。
两个关键点：
- 路径只认
/etc/selinux/config，/etc/sysconfig/selinux是软链接，改它也行，但本质同源 - 必须重启系统才生效，
reboot或init 6都可以，systemctl reboot也行 - 改之前建议备份：
cp /etc/selinux/config /etc/selinux/config.bak
用 sed 一键替换（谨慎使用）：sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config
重启后如何确认 SELinux 真的没了
别只信 getenforce，它在 disabled 模式下可能偶尔返回空或报错；最稳的是 sestatus：
- 输出中
SELinux status:必须是disabled -
Loaded policy name:这一行应该不存在，或显示nil -
/sys/fs/selinux目录应不存在，ls /sys/fs/selinux返回No such file or directory
如果重启后 getenforce 还返回 Enforcing，说明配置没生效，大概率是改错了文件（比如改了 /etc/sysconfig/selinux 但它是软链接指向别处），或者系统用了 grub 参数硬启用了 SELinux（极少见，除非手动加了 selinux=1）。
httpd）启动慢半拍——因为 systemd 仍会尝试读取 SELinux 上下文，直到彻底卸载模块。只要 sestatus 明确显示 disabled，就不用再纠结。 
