启用 SELinux 的情况下，在 CentOS 上搭建 NextCloud/ownCloud 服务

配置 Nginx

参照 NextCloud 官方示例配置修改版在 nginx-conf-example-for-nextcloud.conf 。

相较 NextCloud 配置示例而言，主要是添加了证书透明度和 HKPK 头的选项，关于证书透明度的配置问题，可以看 imququ 的博客， HPKP 的配置则可以看 HTTP Public Key Pinning 。针对这个我也有写了一个脚本用于获取相关必要的信息，在 for_generating_additional_security_information_of_SSL_certificate 。

配置 PHP-FPM

• 复制源码目录下 php.ini-production 到编译时指定的 PHP 系统配置目录下 php.ini

• 对 APCu 配置为启用（ apc.enable_cli 和 apc.enable 均设置为 1 ）。关于支持最大上传文件大小，可以尽可能配置大一点（ post_max_size 和 upload_max_filesize ），因为在 NextCloud 文件夹下还有配置文件可以用于限制，且支持直接在 web 控制台下修改，会在下文说明。

• 设置好用户名 用户组 日志路径等

• 在 /path/to/php-configuration_dir/php-fpm.d/www.conf 下如果配置了监听的为 socket 文件的话，不要忘记设定正确的 listen.owner listen.group listen.mode ， SELinux 的标签配置下文一起说明。

• 取消如下几项的注释，并设置 PATH 到系统正确的值，详细原因看 php-fpm Configuration Notes

env[HOSTNAME] = $HOSTNAME
env[PATH] = /usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin
env[TMP] = /tmp
env[TMPDIR] = /tmp
env[TEMP] = /tmp

配置 MariaDB

并没有特别特殊的要求，我在 [mysqld] section 下设置了一个 skip-networking 以使其只监听 socket 文件，别忘记设置 socket=/path/to/your/sock/file 以确定你的 socket 文件路径，默认的路径可能会因为发行版的不同而不同；设置了 datadir=/path/to/your/data/dir 以替换默认的数据库存储路径。

NextCloud 同时支持存储 emoji unicode，但是数据库表的格式需要修改，如果需要，详细的看 Enabling MySQL 4-byte support 。在这里运行 MariaDB 后创建好给 NextCloud 用的 数据库和数据库用户名。

配置 Redis

主要注意监听地址，因为其一般是没有权限控制的，所以监听在本地 127.0.0.1 上为可。虽然也可以监听为 unix socket 文件，但是后来出了问题，详细的在下一篇问题整理里面说明。其它在这里默认配置即可。

配置 SELinux 标签和 NextCloud 下属文件权限

MariaDB 因为是通过 yum 来安装的，其安装路径为默认，而预配置好的 SELinux 上下文已经包含了常用的软件了，所以默认情况下是不需要配置的。但是因为我替换了其数据文件夹的地址，所以对新的地址需要进行配置。给新路径的文件夹及其子文件（夹）配置规则设置其 SELinux 上下文类型为 mysqld_db_t ，即（ semanage 命令配置后不会及时生效但是会持久保存，使之生效则使用 restorecon 命令）：

semanage fcontent -a -t mysqld_db_t '/path/to/your/db/dir(/.*)?'
restorecon -R /path/to/your/db/dir

之后别忘记检查 DAC(Discretionary Access Control) 权限配置，然后运行 mysql_install_db 命令来安装数据库基本文件。之后就是正常的数据库/表建立了。

Nginx 和 PHP-FPM 因为是我从源码编译安装的，所以一个 SELinux 上下文信息都没有配置，下面说明。

SELinux 下默认对 http 服务有一系列的策略，我简单归纳为属于 httpd_t 域下，也就是说可以把 Nginx 和 PHP-FPM 配置为到 httpd_t 域下运行。而过度到这个域下所需要配置给 nginx 和 php-fpm 命令的 SELinux 上下文类型为 httpd_exec_t，同时也需要对相关的其它需求信息设置为 httpd_t 域可都，特定信息可写。默认配置策略下，可读的对应 SELinux 上下文类型有 httpd_sys_content_t/httpd_user_content_t、可读可写的对应 SELinux 上下文类型有 httpd_sys_rw_content_t/httpd_user_rw_content_t（或者其它），还需要给 PHP 的扩展设置脚本可执行权限，对应的 SELinux 上下文类型为 httpd_sys_script_exec_t，即：

semanage fcontent -a -t httpd_exec_t /path/to/nginx/installation/dir/sbin/nginx
semanage fcontent -a -t httpd_sys_content_t '/path/to/nginx/installation(/.*)?'
semanage fcontent -a -t httpd_sys_content_t '/path/to/nginx/config/dir(/.*)?'
semanage fcontent -a -t httpd_sys_rw_content_t '/path/to/nginx/log(/.*)?'

semanage fcontent -a -t httpd_exec_t /path/to/php/installation/dir/sbin/php-fpm
semanage fcontent -a -t httpd_sys_content_t '/path/to/php/installation(/.*)?'
semanage fcontent -a -t httpd_sys_content_t '/path/to/php/config/dir(/.*)?'
semanage fcontent -a -t httpd_sys_rw_content_t '/path/to/php/log(/.*)?'
semanage fcontent -a -t httpd_sys_script_exec_t '/path/to/php/installation/lib/php/extensions(/.*)?'

semanage fcontent -a -t var_run_t '/path/to/run/dir(/.*)?' # for nginx pid file, php-fpm pid file and its socket file

restorecon -R /path/to/nginx/installation
restorecon -R /path/to/nginx/config
restorecon -R /path/to/nginx/log

restorecon -R /path/to/php/installation
restorecon -R /path/to/php/config
restorecon -R /path/to/php/log

之后稍微整合一下，处理一下 DAC 权限就应该可以跑起来了。

NextCloud 的配置的话，主要分三个步骤：

1. 所有文件的 DAC 权限重新配置，这个有现成的 ownCloud 提供的脚本 post-installation-steps （NextCloud 下虽然没有找到，但是通用）。

2. 处理好 SELinux 的文件上下文信息，NextCloud 下有相关说明 NextCloud SELinux Configuration 。简而言之就是给整个文件夹及其子文件（夹）先设置 httpd_sys_content_t 类型，然后就需要写权限的设置 httpd_sys_rw_content_t 类型，这样子基本功能就可以用了。之后再对某些需要的功能单独启用相关设置。

3. 配置参数:

• 到这里就可以直接运行起来 NextCloud 了，所以启动了服务后，使用浏览器打开本 NextCloud 服务 web 界面，进行初始化配置，主要就是 管理员用户名，管理员用户密码，云数据存储路径，数据库选择，数据库用户名，数据库用户密码，数据库名，数据库链接地址。 其中链接地址，如果是使用的 unix socket 文件的话，格式是 localhost:/path/to/your/mysql.sock 。如果是使用的 TCP 连接的话，注意可能需要另外配置 httpd_t 域的相关布尔值允许访问网络，尝试设置这两个布尔值或其中之一为 on : httpd_can_network_connect/httpd_can_network_connect ，我没有实际试验，因为我用的是 unix socket 文件，且设置了 MariaDB 不启用 TCP 监听功能，以后有机会再确认。

• 之后再手动对 /path/to/NextCloud/webroot/config/config.php 文件进行修改，配置其本地的 memcache 为 APCu，配置 Transactional Locking 使用 Redis 作为数据库，主要添加如下内容（redis 端口号这边是默认的并没有修改）:

'memcache.local' => '\\OC\\Memcache\\APCu',
'filelocking.enabled' => true,
'memcache.locking' => '\\OC\\Memcache\\Redis',
'redis' =>
array (
  'host' => '127.0.0.1',
  'port' => 6379,
  'timeout' => 0.0,
),

• 注意别忘记了 /path/to/NextCloud/webroot/.user.ini 下的配置也会对 NextCloud 造成影响。

到这里所有配置基本就完成了， NextCloud 就已经搭好了。