SELinux深度解析：安全增强型Linux的探索与应用（下）

🐇明明跟你说过：个人主页

🏅个人专栏：《Linux ：从菜鸟到飞鸟的逆袭》🏅

🔖行路有良友，便是天堂🔖

目录

一、SELinux的工作机制

1、SELinux的三种状态：Permissive、Enforcing、Disabled

2、类型强制（Type Enforcement） 

3、角色（Role）与层次（Level） 

4、安全上下文（Security Context） 

二、SELinux的配置与管理 

1、使用semanage和setools进行策略管理

2、使用sestatus、getenforce、setenforce查看SELinux状态

---

一、SELinux的工作机制

1、SELinux的三种状态：Permissive、Enforcing、Disabled

SELinux（Security-Enhanced Linux）是一个Linux内核模块和安全体系结构，它为Linux系统提供了强制访问控制（MAC）的机制。SELinux有三种状态，每种状态对应不同的安全策略执行方式：

1. Enforcing：

• 在这种状态下，SELinux策略会被强制执行。这意味着所有不符合SELinux策略的访问尝试都会被拒绝并记录在日志中。系统会严格按照定义的安全策略进行访问控制，确保最高级别的安全性。
• 例如，如果某个进程尝试访问一个它无权访问的文件，这种访问会被阻止，并且SELinux会在日志中记录这一事件。
• Enforcing状态通常用于生产环境，以确保系统安全策略得到严格实施。

2. Permissive：

• 在这种状态下，SELinux策略不会被强制执行，但任何违反策略的行为仍然会被记录在日志中。也就是说，系统会允许所有访问尝试，即使它们不符合SELinux策略。
• Permissive状态通常用于开发和调试环境，因为它允许管理员查看哪些访问尝试会被SELinux策略阻止，而不会实际阻止这些访问。这对于调整和优化SELinux策略非常有用。
• 例如，管理员可以在Permissive模式下运行系统一段时间，以收集日志中被记录的访问尝试，然后根据这些日志调整SELinux策略。

3. Disabled：

• 在这种状态下，SELinux完全被禁用。系统不会应用任何SELinux策略，也不会记录任何SELinux相关的日志。
• Disabled状态下，系统运行时没有SELinux提供的强制访问控制，这可能会降低系统的安全性。
• 这种状态一般用于不需要或不支持SELinux的环境，或者用于排除与SELinux相关的问题。

​

2、类型强制（Type Enforcement） 

类型强制（Type Enforcement，简称TE）是SELinux实现强制访问控制（MAC）的一种核心机制。TE通过将系统中的每个对象和每个主体（进程）分配到不同的类型，并使用策略规则来定义哪些类型的主体可以访问哪些类型的对象以及如何访问它们，从而实现细粒度的访问控制。

核心概念

1. 类型（Type）：

• 每个文件、目录、设备、进程等对象和主体在SELinux中都有一个类型标签。类型标签用于标识对象和主体属于哪种类型。

2. 域（Domain）：

<