SELinux三種模式的啟動(dòng)、關(guān)閉與查看

目前SELinux依據(jù)啟動(dòng)與否，共有三種模式，分別如下：

• Enforcing：強(qiáng)制模式，代表SELinux運(yùn)行中，且已經(jīng)正確開(kāi)始限制domain/type
• Permissive：寬容模式，代表SELinux運(yùn)行中，不過(guò)僅會(huì)有警告信息并不會(huì)實(shí)際限制domain/type的讀寫(xiě)（這種模式可以用來(lái)作為SELinux的debuug之用）
• Disabled：關(guān)閉模式，SELinux并沒(méi)有實(shí)際運(yùn)行

我們要知道，并不是所有的進(jìn)程都會(huì)被SELinux管制，所以我們需要知道進(jìn)程有沒(méi)有受限（confined）

舉例來(lái)說(shuō)：

我們查看一下crond和bash這兩個(gè)進(jìn)程是否被限制

 我們可以看到crond確實(shí)是受限的主體進(jìn)程，而bash因?yàn)槭潜緳C(jī)進(jìn)程，就是不受限（unconfined_t）的類(lèi)型。也就是說(shuō)bash是直接去判斷rwx

三種模式的運(yùn)行狀態(tài)：

• Disabled的模式，那么SELinux將不會(huì)運(yùn)行，受限的進(jìn)程也不會(huì)經(jīng)過(guò)SELinux，直接去判斷rwx
• Permissive的模式，不會(huì)阻止主體進(jìn)程，但是當(dāng)沒(méi)有通過(guò)策略規(guī)則或安全上下文判斷時(shí)，此讀寫(xiě)操作將會(huì)被記錄起來(lái)（log），可作為未來(lái)檢查問(wèn)題的判斷依據(jù)
• Enforcing的模式，就是將受限主體進(jìn)入規(guī)則比對(duì)、安全上下文比對(duì)的流程，若失敗，就直接阻止主體進(jìn)程的讀寫(xiě)操作，并且將它記錄下來(lái)。如果通通沒(méi)問(wèn)題就進(jìn)入到rwx的判斷

查看SELinux模式

使用getenforce查看

查看SELinux的策略

sestatus 【-vb】

選項(xiàng)與參數(shù)：

• -v：檢查列于/etc/sestatus.conf內(nèi)的文件與進(jìn)程的安全上下文內(nèi)容
• -b：將目前策略的規(guī)則布爾值列出

SELinux的啟動(dòng)與關(guān)閉

SELinux的配置文件為/etc/selinux/config

其中非注釋的內(nèi)容只有兩行為：

除了強(qiáng)制模式與寬容模式之間相互轉(zhuǎn)換之外，其他的模式變換都需要直接在配置文件中修改，并且變換模式后，都需要重新啟動(dòng)

讓SELinux在Enforcing與Permissive之間切換

setenforce 【0/1】

選項(xiàng)與參數(shù)：

• 0：轉(zhuǎn)為Permissive寬容模式
• 1：轉(zhuǎn)為Enforcing強(qiáng)制模式

不過(guò)請(qǐng)注意，setforce無(wú)法再Disabled模式下切換模式

補(bǔ)充：

問(wèn)題：

• 在某些特殊情況下
• 我們從Disabled切換到Enforcing之后
• 有一大堆服務(wù)不能順利啟動(dòng)
• 并且錯(cuò)誤為/lib/xxx里面的數(shù)據(jù)沒(méi)有權(quán)限讀取
• 這是因?yàn)橹匦聦?xiě)入SELinux類(lèi)型出錯(cuò)
• 使用Permissive就沒(méi)有這個(gè)錯(cuò)誤

處理：

• 在Permissive的狀態(tài)下
• 使用【restorecon -Rv/】重新還原所有SELinux的類(lèi)型就能解決這個(gè)問(wèn)題

總結(jié)

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。

最新評(píng)論