4.13. 多级别安全（MLS）

过程 4.19. 启用 SELinux MLS 策略

1. 安装 selinux-policy-mls 软件包：

   ~]# yum install selinux-policy-mls

   Copy to Clipboard Toggle word wrap
2. 在启用 MLS 策略之前，必须使用 MLS 标签重新标记文件系统中的每个文件。重新标记文件系统时，可能会拒绝访问受限域，这可能会妨碍系统正确启动。要防止发生这种情况，请在 /etc/selinux/config 文件中配置 SELINUX=permissive。另外，通过配置 SELINUXTYPE=mls 来启用 MLS 策略。您的配置文件应如下所示：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=mls
   

   Copy to Clipboard Toggle word wrap
3. 确保 SELinux 以 permissive 模式运行：

   ~]# setenforce 0

   Copy to Clipboard Toggle word wrap

   ~]$ getenforce
   Permissive
   

   Copy to Clipboard Toggle word wrap
4. 使用 fixfiles 脚本创建包含 the -F 选项的 /.autorelabel 文件，以确保在下次重启时重新标记文件：

   ~]# fixfiles -F onboot

   Copy to Clipboard Toggle word wrap
5. 重启您的系统。在下一次启动期间，将根据 MLS 策略重新标记所有文件系统。标签进程使用适当的 SELinux 上下文标记所有文件：

   *** Warning -- SELinux mls policy relabel is required.
   *** Relabeling could take a very long time, depending on file
   *** system size and speed of hard drives.
   ***********
   

   Copy to Clipboard Toggle word wrap
   底部行中的每个 * （星号）字符都代表已标记了 1000 个文件。在上例中，eleven * 字符代表 11000 文件，它们已被标记。标记所有文件所需的时间取决于系统上的文件数量以及硬盘驱动器的速度。在现代系统中，此过程只需 10 分钟。标签过程完成后，系统将自动重新引导。
6. 在 permissive 模式中，SELinux 策略不会被强制实施，但是仍会记录在 enforcing 模式运行时会被拒绝的操作。在更改为 enforcing 模式之前，以 root 身份输入以下命令，以确认 SELinux 在上一次启动期间没有拒绝操作。如果在上一次启动期间 SELinux 没有拒绝操作，这个命令不会返回任何输出。如果在引导过程中 SELinux 拒绝访问，请参阅 第 11 章 故障排除。

   ~]# grep "SELinux is preventing" /var/log/messages

   Copy to Clipboard Toggle word wrap
7. 如果 /var/log/messages 文件中没有拒绝信息，或者在 /etc/selinux/config 文件中配置 SELINUX=enforcing ：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=mls
   

   Copy to Clipboard Toggle word wrap
8. 重启您的系统并确保 SELinux 以 enforcing 模式运行：

   ~]$ getenforce
   Enforcing
   

   Copy to Clipboard Toggle word wrap
   启用了 MLS 策略：

   ~]# sestatus |grep mls
   Policy from config file:        mls
   

   Copy to Clipboard Toggle word wrap

过程 4.20. 使用特定 MLS 范围创建用户

1. 使用 useradd 命令添加新 Linux 用户，并将新的 Linux 用户映射到现有的 SELinux 用户（本例中为 staff_u）：

   ~]# useradd -Z staff_u john

   Copy to Clipboard Toggle word wrap
2. 为新创建的 Linux 用户分配密码：

   prompt~]# passwd john

   Copy to Clipboard Toggle word wrap
3. 以 root 身份输入以下命令，以查看 SELinux 和 Linux 用户之间的映射。输出应如下：

   ~]# semanage login -l
   Login Name           SELinux User         MLS/MCS Range        Service
   
   __default__          user_u               s0-s0                *
   john                 staff_u              s0-s15:c0.c1023      *
   root                 root                 s0-s15:c0.c1023      *
   staff                staff_u              s0-s15:c0.c1023      *
   sysadm               staff_u              s0-s15:c0.c1023      *
   system_u             system_u             s0-s15:c0.c1023      *

   Copy to Clipboard Toggle word wrap
4. 为用户 john 定义特定范围：

   ~]# semanage login --modify --range s2:c100 john

   Copy to Clipboard Toggle word wrap
5. 再次查看 SELinux 和 Linux 用户之间的映射。请注意，用户 john 现在定义了一个特定的 MLS 范围：

   ~]# semanage login -l
   Login Name           SELinux User         MLS/MCS Range        Service
   
   __default__          user_u               s0-s0                *
   john                 staff_u              s2:c100              *
   root                 root                 s0-s15:c0.c1023      *
   staff                staff_u              s0-s15:c0.c1023      *
   sysadm               staff_u              s0-s15:c0.c1023      *
   system_u             system_u             s0-s15:c0.c1023      *

   Copy to Clipboard Toggle word wrap
6. 如果需要，请输入以下命令更正 john 主目录中的标签：

   ~]# chcon -R -l s2:c100 /home/john

   Copy to Clipboard Toggle word wrap

过程 4.21. 启用 Polyinstantiation 目录

1. 取消注释 /etc/security/namespace.conf 文件中的最后三行，以启用对 /tmp、/var/tmp/ 和用户主目录的实例化：

   ~]$ tail -n 3 /etc/security/namespace.conf
   /tmp     /tmp-inst/            level      root,adm
   /var/tmp /var/tmp/tmp-inst/    level      root,adm
   $HOME    $HOME/$USER.inst/     level
   

   Copy to Clipboard Toggle word wrap
2. 确保在 /etc/pam.d/login 文件中，为会话配置了 pam_namespace.so 模块：

   ~]$ grep namespace /etc/pam.d/login
   session    required     pam_namespace.so
   

   Copy to Clipboard Toggle word wrap
3. 重启您的系统。