SEAndroid-在特定安全域中运行应用

Question

我有一个没有活动的应用程序（服务）。我想像这样在 init.rc 中启动这个应用程序：

service secret_service /system/bin/am startservice com.my.secret.service/com.my.secret.service.SecretService
    class late_start
    user root
    group root

如果按上述方式运行，此服务将在“platform_app”安全上下文中运行。但是，我想在不同的安全上下文中运行它，例如“mysecurity”。我已经尝试过像这样使用 seclabel：

service secret_service /system/bin/am startservice com.my.secret.service/com.my.secret.service.SecretService
    class late_start
    user root
    group root
    seclabel u:r:mysecurity:s0

但它不起作用。有谁知道如何实现这一目标？

谢谢。

Answer 1

您应该在mac_permissions.xml 中创建一个条目，将应用签名证书映射到seinfo 值，并在seapp_contexts 中创建一个对应条目，将seinfo 值映射到域。此外，如果您的域不是标准域之一，那么您还必须在 external/sepolicy 中创建适当的类型强制文件（例如，mysecurity.te），以便在策略构建时包含。