Ubuntu SELinux策略如何管理

在Ubuntu中，SELinux（Security-Enhanced Linux）默認是禁用的，但如果你需要啟用和管理SELinux策略，可以按照以下步驟操作：

安裝SELinux及相關工具

首先，確保系統已經安裝了SELinux及相關工具?？梢酝ㄟ^以下命令安裝：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default auditd

啟用SELinux

安裝完成后，需要將SELinux設置為“寬松”（permissive）或“嚴格”（enforcing）模式。要將其設置為“寬松”模式，請編輯 /etc/selinux/config 文件并更改以下行：

SELINUX enforcing

將其更改為：

SELINUX permissive

保存并關閉文件。然后重新啟動計算機以使更改生效：

sudo reboot

檢查SELinux狀態

要檢查SELinux是否已啟用并運行，可以在終端中輸入以下命令：

sestatus

管理SELinux策略

SELinux策略可以通過多種方式進行管理，包括使用命令行工具 semanage 和 audit2allow，或者通過圖形界面工具如 Policy Configurator。

使用 semanage 命令管理策略

semanage 命令允許定義和修改SELinux上下文類型、用戶和角色。例如，創建一個新的策略以允許對特定目錄進行讀寫操作：

sudo semanage fcontext -a -t httpd_sys_rw_content_t "/path/to/your/custom/directory(/.*)?"

使用 restorecon 命令應用新策略：

sudo restorecon -Rv /path/to/your/custom/directory

創建自定義SELinux策略

1. 創建一個新的策略文件目錄：

   mkdir /selinux-custom-policy
   cd /selinux-custom-policy
   

2. 創建并編輯 custom_policy.te 文件，添加相應的規則。例如，允許一個名為 my_script 的可執行文件訪問 /var/www/html 目錄：

   policy_module(custom_policy, 1.0)
   type my_script_t;
   type my_script_exec_t;
   init_daemon_domain(my_script_t, my_script_exec_t)
   allow my_script_t httpd_sys_rw_content_t:dir { read write };
   

3. 編譯并安裝自定義策略：

   make -f /usr/share/selinux/devel/Makefile
   sudo semodule -i custom_policy.pp
   

4. 將自定義策略應用于系統：

   sudo restorecon -Rv /path/to/your/directory
   

查看當前的SELinux模式

可以使用 getenforce 命令來查看當前的SELinux模式：

getenforce

更改SELinux模式

如果需要，可以通過編輯 /etc/selinux/config 文件并更改 SELINUX 變量的值來更改SELinux模式。例如，將模式設置為 permissive：

SELINUX=permissive

更改后，需要重新啟動系統以使更改生效。

sudo reboot

請注意，SELinux在Ubuntu上的支持有限，并非所有功能都可用。在某些情況下，可能需要考慮使用其他發行版，如CentOS或RHEL，以獲得更好的SELinux支持。