Ubuntu SELinux如何设置策略-117笔记问答

在Ubuntu系统中，SELinux（Security-Enhanced Linux）是一种内核安全模块，用于增强系统的安全性。要为Ubuntu系统设置SELinux策略，你需要遵循以下步骤：

首先，确保你的Ubuntu系统已经安装了SELinux。如果没有安装，可以使用以下命令进行安装：

sudo apt update
sudo apt install selinux-basics selinux-policy-default

安装完成后，你需要启用SELinux。可以通过以下命令来启用：

sudo selinux-activate

SELinux有三种运行模式：enforcing（强制模式）、permissive（宽容模式）和disabled（禁用模式）。默认情况下，SELinux在Ubuntu上以enforcing模式运行。

你可以使用以下命令查看当前的SELinux模式：

sestatus

如果你想切换到permissive模式，可以使用以下命令：

sudo setenforce 0

SELinux策略通常存储在/etc/selinux/目录下。你可以使用文本编辑器（如nano或vim）来编辑策略文件。

例如，编辑/etc/selinux/config文件：

sudo nano /etc/selinux/config

在文件中，你可以修改以下行来设置SELinux模式：

SELINUX=enforcing

如果你需要添加自定义策略，可以使用audit2allow工具来生成策略模块。

首先，确保你已经安装了policycoreutils-python-utils包：

sudo apt install policycoreutils-python-utils

然后，收集SELinux拒绝日志：

sudo ausearch -m avc -ts recent

将拒绝日志保存到一个文件中：

sudo ausearch -m avc -ts recent > /tmp/rejects.log

使用audit2allow生成策略模块：

sudo audit2allow -M my_custom_policy -i /tmp/rejects.log

加载生成的策略模块：

sudo semodule -i my_custom_policy.pp

最后，验证你的策略是否生效。你可以使用以下命令查看SELinux日志：

sudo cat /var/log/audit/audit.log | grep avc

如果策略生效，你应该不会再看到相关的AVC拒绝日志。

通过以上步骤，你可以在Ubuntu系统上设置和自定义SELinux策略。请注意，SELinux策略的编写和调试可能需要一定的Linux和SELinux知识，因此在实际操作中要谨慎行事。

Ubuntu SELinux如何设置策略