5、深入理解SELinux决策与日志记录

深入理解SELinux决策与日志记录

1. 开启与关闭SELinux

在某些情况下，禁用SELinux是常见需求。部分供应商因缺乏为自家应用开发SELinux策略的专业知识，或无法培训其支持人员处理SELinux相关问题，不支持应用在启用SELinux的平台上运行。同时，系统管理员通常不愿使用他们不理解或认为维护过于复杂的安全控制。不过，SELinux正成为多个Linux发行版的事实标准技术，管理员对它的了解也在不断增加。而且，SELinux能够选择性地禁用系统某部分的访问控制，而非要求完全禁用整个系统的SELinux。

1.1 设置全局SELinux状态

SELinux支持三种主要状态：禁用（disabled）、宽容（permissive）和强制（enforcing）。这些状态通过 /etc/selinux/config 文件中的 SELINUX 变量进行设置，示例代码如下：

$ grep ^SELINUX= /etc/selinux/config
SELINUX=enforcing

当init系统进程加载SELinux策略时，SELinux代码会检查管理员配置的状态，具体如下：
- 禁用（disabled） ：SELinux代码将禁用进一步支持，在不激活SELinux的情况下继续引导系统。
- 宽容（permissive） ：SELinux处于活动状态，但不会在系统上强制执行其策略。它会报告任何违反策略的