9、SELinux 用户登录管理与文件上下文控制全解析

SELinux 用户登录管理与文件上下文控制全解析

1. 用户登录管理

1.1 拒绝访问用户记录

在 sepermit.conf 文件中，当系统处于宽容模式时，有三种方式记录要拒绝访问的用户：
- 普通用户名
- 以 @ 符号为前缀的组名
- 以 % 符号为前缀的 SELinux 用户名

每种方式都单独占一行，并且可以添加一两个选项，这些选项的详细说明可在 sepermit.conf 手册页中找到。

1.2 启用 pam_sepermit 模块

要启用 pam_sepermit ，只需在认证 PAM 服务中启用该模块：

auth  required pam_sepermit.so

需要注意的是，当切换到宽容模式时，要记得移除所有活跃的用户会话，否则正在运行的会话将不受影响。

1.3 多实例化目录

1.3.1 多实例化概念

多实例化是一种方法，当用户登录系统时，他会获得特定于其会话的文件系统资源视图，同时隐藏其他用户的资源。这与常规访问控制不同，在常规访问控制中，其他资源仍然可见，但可能无法访问。该模块使用 Linux 内核命名空间技术，为用户会话强制创建一个隔离且特定的文件系统视图，其他用户对文件系统有不同的视图。

例如，除 root 用户外，所有用户不应