10.2. 更改 SELinux 状态和模式

10.2.1. SELinux 状态和模式的更改

如 SELinux 状态和模式中所述，SELinux 可以被启用或禁用。启用后，SELinux 有两个模式： enforcing 和 permissive。

使用 getenforce 或 sestatus 命令检查 SELinux 在哪个模式下运行。getenforce 命令返回 Enforcing、Pmissive 或 Disabled。

sestatus 命令返回 SELinux 状态以及正在使用的 SELinux 策略：

$ sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      31

警告

当系统以 permissive 模式运行 SELinux 时，用户和进程可能会错误地标记各种文件系统对象。当禁用 SELinux 时创建的文件系统对象不会被标记。这会在将 SELinux 改为 enforcing 模式时导致问题，因为 SELinux 依赖于正确的文件系统对象标签。

为防止错误标记和未标记的文件造成问题，SELinux 在从 disabled 状态更改为 permissive 或 enforcing 模式时自动重新标记文件系统。以 root 用户身份使用 fixfiles -F onboot 命令创建包含 -F 选项的 /.autorelabel 文件，以确保在下次重启时重新标记文件。

在重新引导系统以进行重新标记之前，请确保系统将以 permissive 模式引导，例如使用 enforcing=0 内核选项。这可防止系统在启动 selinux-autorelabel 服务前需要未标记的文件时，系统无法引导。如需更多信息，请参阅 RHBZ#2021835。

10.2.2. 将 SELinux 更改为 permissive 模式

当 SELinux 是以 permissive 模式运行时，不会强制 SELinux 策略。系统可保持正常操作，SELinux 不会拒绝任何操作，而只是记录 AVC 信息，它们可用于故障排除、调试和 SELinux 策略改进。每个 AVC 在这个示例中仅记录一次。

先决条件

selinux-policy-targeted、libselinux-utils 和 policycoreutils 软件包已安装在您的系统中。
未使用 selinux=0 或 enforcing=0 内核参数。

流程

在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：
```
# vi /etc/selinux/config
```

配置 SELINUX=permissive 选项：

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - No SELinux policy is loaded.
SELINUX=permissive
# SELINUXTYPE= can take one of these two values:
#       targeted - Targeted processes are protected,
#       mls - Multi Level Security protection.
SELINUXTYPE=targeted

重启系统：
```
# reboot
```

验证

系统重启后，确认 getenforce 命令返回 许可 ：
```
$ getenforce
Permissive
```

10.2.3. 将 SELinux 更改为 enforcing 模式

当 SELinux 处于 enforcing 模式时，它会强制 SELinux 策略并根据 SELinux 策略规则拒绝访问。在 RHEL 中，当系统最初使用 SELinux 安装时，默认启用 enforcing 模式。

先决条件

selinux-policy-targeted、libselinux-utils 和 policycoreutils 软件包已安装在您的系统中。
未使用 selinux=0 或 enforcing=0 内核参数。

流程

在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：
```
# vi /etc/selinux/config
```

配置 SELINUX=enforcing 选项：

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#       targeted - Targeted processes are protected,
#       mls - Multi Level Security protection.
SELINUXTYPE=targeted

保存更改，重启系统：
```
# reboot
```
在下一次引导中，SELinux 会重新标记系统中的所有文件和目录，并为禁用 SELinux 时创建的文件和目录添加 SELinux 上下文。

验证

系统重启后，确认 getenforce 命令返回 Enforcing:
```
$ getenforce
Enforcing
```

故障排除

切换到 enforcing 模式后，SELinux 可能会因为不正确或缺少 SELinux 策略规则而拒绝某些操作。

要查看 SELinux 拒绝的操作，以 root 用户身份输入以下命令：
```
# ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts today
```
另外，如果安装了 setroubleshoot-server 软件包，请输入：
```
# grep "SELinux is preventing" /var/log/messages
```
如果 SELinux 活跃且 Audit 守护进程(auditd)没有在您的系统中运行，则在 dmesg 命令输出中搜索某些 SELinux 信息：
```
# dmesg | grep -i -e type=1300 -e type=1400
```

如需更多信息，请参阅 SELinux 故障排除。

10.2.4. 在之前禁用的系统中启用 SELinux

为了避免问题（如系统无法引导或进程失败），当在之前禁用的系统中启用 SELinux 时，首先在 permissive 模式中解析 Access Vector Cache (AVC)信息。

当系统以 permissive 模式运行 SELinux 时，用户和进程可能会错误地标记各种文件系统对象。当禁用 SELinux 时创建的文件系统对象不会被标记。这会在将 SELinux 改为 enforcing 模式时导致问题，因为 SELinux 依赖于正确的文件系统对象标签。

为防止错误标记和未标记的文件造成问题，SELinux 在从 disabled 状态更改为 permissive 或 enforcing 模式时自动重新标记文件系统。

警告

在重新引导系统以进行重新标记之前，请确保系统将以 permissive 模式引导，例如使用 enforcing=0 内核选项。这可防止系统在启动 selinux-autorelabel 服务前需要未标记的文件时，系统无法引导。如需更多信息，请参阅 RHBZ#2021835。

流程

以 permissive 模式启用 SELinux。如需更多信息，请参阅切换到 permissive 模式。
重启您的系统：
```
# reboot
```
检查 SELinux 拒绝信息。如需更多信息，请参阅识别 SELinux 拒绝。
确保在下次重启时重新标记文件：
```
# fixfiles -F onboot
```
这会创建包含 -F 选项的 /.autorelabel 文件。
警告
进入 fixfiles -F onboot 命令前，始终切换到 permissive 模式。
默认情况下，autorelabel 使用并行数量的线程，因为系统有可用的 CPU 内核。要在自动重新标记过程中只使用单个线程，请使用 fixfiles -T 1 onboot 命令。
如果没有拒绝的操作，切换到 enforcing 模式。如需更多信息，请参阅在引导时进入 SELinux 模式。

验证

系统重启后，确认 getenforce 命令返回 Enforcing:
```
$ getenforce
Enforcing
```

后续步骤

要在 enforcing 模式下使用 SELinux 运行自定义应用程序，请选择以下之一：

在 unconfined_service_t 域中运行您的应用程序。
为应用程序编写新策略。如需更多信息，请参阅编写自定义 SELinux 策略部分。

其它资源

SELinux 状态和模式部分涵盖了模式的临时更改。

10.2.5. 禁用 SELinux

当您禁用 SELinux 时，您的系统不会载入 SELinux 策略。因此，系统不会强制执行 SELinux 策略，且不会记录 Access Vector Cache (AVC)信息。因此，运行 SELinux 的好处中介绍的好处都将没有。

除非在特定情况下，否则不要禁用 SELinux，如对性能敏感的系统，当弱安全性不会带来重大风险时。

重要

如果您的场景需要在生产环境中执行调试，请临时使用 permissive 模式，而不是永久禁用 SELinux。如需有关 permissive 模式的更多信息，请参阅切换为 permissive 模式。

先决条件

已安装 grubby 软件包：
```
$ rpm -q grubby
grubby-<version>
```

流程

将您的引导装载程序配置为在内核命令行中添加 selinux=0 ：
```
$ sudo grubby --update-kernel ALL --args selinux=0
```
重启您的系统：
```
$ reboot
```

验证

重新引导后，确认 getenforce 命令返回 Disabled ：
```
$ getenforce
Disabled
```

其它方法

在 RHEL 8 中，您仍然可以使用 已弃用 的方法，通过使用 /etc/selinux/config 文件中的 SELINUX=disabled 选项来禁用 SELinux。这会导致内核启用 SELinux，并在稍后的引导过程中切换到禁用模式。因此，可能会出现内存泄漏和竞争条件，从而导致内核 panic。使用此方法：

在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：
```
# vi /etc/selinux/config
```

配置 SELINUX=disabled 选项：

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these two values:
#       targeted - Targeted processes are protected,
#       mls - Multi Level Security protection.
SELINUXTYPE=targeted

保存更改并重启您的系统：
```
# reboot
```

10.2.6. 在引导时更改 SELinux 模式

在引导时，您可以设置以下内核参数来更改 SELinux 的运行方式：

enforcing=0

设置此参数可让系统以 permissive 模式启动，这在进行故障排除时非常有用。如果您的文件系统被破坏，使用 permissive 模式可能是唯一的选择。在 permissive 模式中，系统将继续正确创建标签。在这个模式中产生的 AVC 信息可能与 enforcing 模式不同。

在 permissive 模式中，只报告来自于同一拒绝的一系列操作的第一个拒绝信息。然而，在 enforcing 模式中，您可能会得到一个与读取目录相关的拒绝信息，应用程序将停止。在 permissive 模式中，您会得到相同的 AVC 信息，但应用程序将继续读取目录中的文件，并为因为每个拒绝额外获得一个 AVC。

selinux=0

这个参数会导致内核不载入 SELinux 构架的任意部分。初始化脚本会注意到系统使用 selinux=0 参数引导，并更改 /.autorelabel 文件。这会导致系统在下次使用 SELinux enabled 模式引导时自动重新标记。

重要

不要在生产环境中使用 selinux=0 参数。要调试您的系统，请临时使用 permissive 模式而不是禁用 SELinux。

autorelabel=1

这个参数强制系统使用类似以下命令的重新标记：

# touch /.autorelabel
# reboot

如果文件系统中包含大量错误标记的对象，以 permissive 模式启动系统，使 autorelabel 进程成功。

其它资源

有关 SELinux 的其他内核引导参数，如 checkreqprot，请查看 /usr/share/doc/kernel-doc-<KERNEL_VER>/Documentation/admin-guide/kernel - parameters.txt 文件。使用安装的内核的版本号替换 <KERNEL_VER> 字符串，例如：
```
# yum install kernel-doc
$ less /usr/share/doc/kernel-doc-4.18.0/Documentation/admin-guide/kernel-parameters.txt
```

10.2.1. SELinux 状态和模式的更改

10.2.2. 将 SELinux 更改为 permissive 模式

10.2.3. 将 SELinux 更改为 enforcing 模式

10.2.4. 在之前禁用的系统中启用 SELinux

10.2.5. 禁用 SELinux

10.2.6. 在引导时更改 SELinux 模式

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Red Hat legal and privacy links

Red Hat legal and privacy links