Android系统10 RK3399 init进程启动(二十四) Selinux三种模式

配套系列教学视频链接：

      安卓系列教程之ROM系统开发-百问100ask

说明

系统：Android10.0

设备： FireFly RK3399 （ROC-RK3399-PC-PLUS）

前言

本章节介绍Selinux工作的三种模式，并知道如何切换三种模式。

---

一， Selinux三种模式介绍

selinux一般有三种模式，　Disabled、Permissive 和 Enforcing， SEAndroid是基于SElinux， 所以也是一样有这三种模式。

 1, Disable工作模式(关闭模式)

     SELinux 被关闭，默认的DAC访问控制方式被使用。对于那些不需要增强安全性的环境来说，该模式是非常有用的。比如你的系统不太考虑安全控制， 只想简单快速启动一个进程， 那么可以尝试选这种模式，

2, Permissive工作模式(宽容模式)

      SELinux被启用，但安全策略规则并没有被强制执行。只打印audit 异常LOG，不拒绝请求，即当安全策略规则应该拒绝访问时，访问仍然被允许。同时会向日志文件发送一条消息，表示该访问应该被拒绝。 SELinux Permissive 模式主要用于以下几种情况：

     A,  测试当前的 SELinux 策略规则；

     B,测试新应用程序，看看将 SELinux 策略规则应用到这些程序时会有什么效果；

     C, 解决某一特定服务或应用程序在 SELinux 下不再正常工作的故障。

    可使用 audit2allow 命令来读取 SELinux 审核日志并生成新的 SELinux 规则，从而有选择性地允许被拒绝的行为，而这也是一种在不禁用 SELinux 的情况下，让应用程序在 Linux 系统上工作的快速方法。

3, Enforcing工作模式(强制模式)

   SELinux 被启动，并强制执行所有的安全策略规则。

二， Selinux的工作模式切换

修改SEAndroid的模式可以通过如下方式完成：

1，通过getenforce命令获取系统的selinux模式， 通过setenfore临时修改模式。临时修改

setenforce 0   ##设置SELinux 成为permissive模

setenforce 1   ##设置SELinux 成为enforcing模式

2,在kernel 关闭 selinux

    在内核中配置SECURITY_SELINUX设置为 false，重新编译kernel刷机。可以永久关闭seandroid。

    以下是测试的内核编译中.config文件中关闭selinux之后的配置信息:

CONFIG_SECURITY_SELINUX=n

3，在init进程启动的时候关闭selinux

     安卓系统启动过程中，init进程会进行selinux的初始化。通过读取/proc/cmdline文件，判断androidboot.selinux的值是否需要开启selinux。因此，我们可以init进程初始化selinux的时候强制执行关闭操作。

androidboot.selinux=permissive

androidboot.selinux=enforcing

androidboot.selinux=disable  

在rk3399中可以搜索

在rk3399的android源码device/rockchip目录下中搜索”androidboot.selinux”, 然后就可以看到cmdline是可以在BOARD_KERNEL_CMDLINE变量中追加的， 同时也可以看到将cmdline相关内容加入了boot.img镜像了。

./common/BoardConfig.mk:86:BOARD_KERNEL_CMDLINE += androidboot.selinux=permissive

./common/mkimage.sh:92:    mkbootimg --kernel $KERNEL_DEBUG --ramdisk $OUT/ramdisk.img --second kernel/resource.img --os_version $PLATFORM_VERSION --header_version $BOARD_BOOTIMG_HEADER_VERSION --os_patch_level $PLATFORM_SECURITY_PATCH --cmdline "$BOARD_KERNEL_CMDLINE" --output $OUT/boot.img && \

注： 在Ubuntu这些linux系统，彻底关闭SeLinux请使用下面方法， 然后重启机器。

#vim /etc/selinux/config

将 SELINUX=enforcing 改为 SELINUX=disabled

模式最终都会通过/sys/fs/selinux/enforce获取状态， 或者通该文件修改模式。1为enforce,  0为permissive