深入理解SELinux：从核心概念到实战应用

深入理解SELinux：从核心概念到实战应用

本文通过生动比喻和实际案例，全面解析SELinux的工作原理、配置方法和故障排查技巧。

一、SELinux概述：智能门禁系统

SELinux (Security-Enhanced Linux) 是由美国国家安全局 (NSA) 主导开发的强制访问控制 (MAC) 安全子系统。与传统Linux的自主访问控制不同，SELinux就像一个智能门禁系统：

• 🔐 不再仅依赖"钥匙"（用户权限）
• 🏷️ 每个进程和资源都有电子标签（安全上下文）
• 📚 严格遵循通行规则手册（安全策略）

二、核心概念：中秋家宴的完美管家

想象中秋家宴，SELinux就是那位确保一切井然有序的管家：

核心概念	中秋家宴比喻	技术描述	实际示例
主体(Subject)	家庭成员/客人	发起动作的进程	httpd进程（想端菜的厨师）
客体(Object)	月饼/菜肴/房间	被操作的资源	/var/www/html/index.html（一盘月饼）
策略(Policy)	家规	定义访问规则的集合	“只有厨师(httpd_t)才能碰厨房里的月饼(httpd_sys_content_t)”
安全上下文	身份胸牌/物品标签	附加到进程和资源的安全标签	system_u:object_r:httpd_sys_content_t:s0

安全上下文结构解析

user:role:type:level

• user：SELinux用户（非Linux系统用户）
• role：角色（用于RBAC访问控制）
• type：类型（最核心部分，决定访问权限）
• level：级别（用于MLS多级安全，通常为s0）

三、SELinux工作流程

当一个进程尝试访问资源时，SELinux的检查流程如下：

进程请求访问 → 内核拦截 → 检查安全上下文 → 查询策略规则 → 允许/拒绝访问

四、三种工作模式详解