selinux配置錯誤實例介紹

錯誤緣由

配置關閉SELinux，結果誤操做

應修改配置文件/etc/selinux/config中的「SELINUX」參數的值，

# SELINUX=enforcing  原始配置
SELINUX=disabled    正確

可是誤將「SELINUXTYPE」當作「SELINUX」，設置了SELINUXTYPE參數：

#SELINUXTYPE=targeted  原始配置 這個沒必要修改。
SELINUXTYPE=disabled  錯誤

錯誤結果

重啓後 機器就報 Failed to load SELinux policy. Freezing 錯誤 致使一直不能啓動

解決辦法：

1. 重啓時在啓動頁面，選擇你要啓動的內核 按 E， 進入 grub 編輯頁面。

2. 找到 linux16 那一行，在language 後面 也就是LANG=zh_CN.UTF-8，空格 加上 selinux=0 或者 enforcing=0 (備註：我是加入selinux=0 生效的。)

3. 而後 ctrl + x 啓動，就看到熟悉的登陸界面。

4 .修改selinux配置文件，正確關閉selinux ~！

vim /etc/selinux/config
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#    enforcing - SELinux security policy is enforced.
#    permissive - SELinux prints warnings instead of enforcing.
#    disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#    targeted - Targeted processes are protected,
#    minimum - Modification of targeted policy. Only selected processes are protected.
#    mls - Multi Level Security protection.
SELINUXTYPE=targeted

修改完畢後，重啓。查看是否會報錯 。over。

安全加強型 Linux（Security-Enhanced Linux）

SELinux，它是一個 Linux 內核模塊，也是 Linux 的一個安全子系統。

SELinux 主要由美國國家安全局開發。2.6 及以上版本的 Linux 內核都已經集成了 SELinux 模塊。SELinux 的做用及權限管理機制

1.1 SELinux 的做用

SELinux 主要做用就是最大限度地減少系統中服務進程可訪問的資源（最小權限原則）。

目前系統文件權限的管理有兩種：DAC(傳統的) 和 MAC(SELinux)

1.2 DAC

傳統的文件權限與賬號關係：自主式存取控制, DAC(Discretionary Access Control, DAC)

在沒有使用 SELinux 的操做系統中，決定一個資源是否能被訪問的因素是：某個資源是否擁有對應用戶的權限（讀、寫、執行）。

只要訪問這個資源的進程符合以上的條件就能夠被訪問。

而最致命問題是，root 用戶不受任何管制，系統上任何資源均可以無限制地訪問。

這種權限管理機制的主體是用戶，也稱爲自主訪問控制（DAC）。

1.3 MAC

以政策規則訂定特定程序讀取特定文件：委任式存取控制,MAC

在使用了 SELinux 的操做系統中，決定一個資源是否能被訪問的因素除了上述因素以外，還須要判斷每一類進程是否擁有對某一類資源的訪問權限。

這樣一來，即便進程是以 root 身份運行的，也須要判斷這個進程的類型以及容許訪問的資源類型才能決定是否容許訪問某個資源。進程的活動空間也能夠被壓縮到最小。

即便是以 root 身份運行的服務進程，通常也只能訪問到它所須要的資源。即便程序出了漏洞，影響範圍也只有在其容許訪問的資源範圍內。安全性大大增長。

這種權限管理機制的主體是進程，也稱爲強制訪問控制（MAC）。

而 MAC 又細分爲了兩種方式，一種叫類別安全（MCS）模式，另外一種叫多級安全（MLS）模式。
在 DAC 模式下，只要相應目錄有相應用戶的權限，就能夠被訪問
在 MAC 模式下，還要受進程容許訪問目錄範圍的限制。

總結理解

DAC是以用戶爲出發點來管理權限的
MAC是以程序爲出發點來管理權限的

之前：root--->啓動httpd---->httpd能夠訪問系統任何文件
如今：root--->啓動httpd---->httpd只能訪問/var/www/目錄(這是MAC)規則的約束

若是httpd想要訪問其餘目錄，那麼必須知足兩個條件：DAC的rwx + MAC的規則

原文來自： https://www.linuxprobe.com/selinux-error-example.html