在Ubuntu系統中，SELinux（Security-Enhanced Linux）是一種安全模塊，用于增強Linux系統的內核安全。要使用SELinux限制用戶權限，您需要首先確保SELinux已啟用并正確配置。以下是一些建議：
確保SELinux已安裝并啟用：
要檢查SELinux是否已啟用，請運行以下命令：
sestatus
如果SELinux未啟用，您可以使用以下命令啟用它：
sudo apt-get install selinux-basics selinux-policy-default
sudo systemctl enable selinux
sudo systemctl start selinux
為用戶分配角色：
SELinux使用角色來限制用戶訪問特定資源。您可以使用semanage login命令為用戶分配角色。例如，要將用戶username分配給角色user_r，請運行以下命令：
sudo semanage login -a -s user_r username
您可以使用semanage login -l命令查看所有用戶及其分配的角色。
為文件和目錄設置安全上下文：
SELinux使用安全上下文來定義文件和目錄的訪問權限。您可以使用semanage fcontext命令為文件和目錄設置安全上下文。例如，要將文件/home/username/file.txt的安全上下文設置為user_home_t，請運行以下命令：
sudo semanage fcontext -a -t user_home_t "/home/username(/.*)?"
sudo restorecon -Rv /home/username
這將確保只有具有user_r角色的用戶才能訪問/home/username/file.txt文件。
使用SELinux策略限制進程：
您可以使用SELinux策略來限制特定進程的訪問權限。例如，要限制名為myapp的進程只能訪問/home/username目錄，請創建一個新的策略文件，如/etc/selinux/targeted/contexts/files/file_contexts.local，并添加以下內容：
/usr/bin/myapp u:object_r:user_home_t:s0
然后，運行以下命令以應用更改：
sudo restorecon -Rv /usr/bin/myapp
監控SELinux拒絕：
當用戶嘗試訪問受限資源時，SELinux會生成拒絕消息。您可以通過查看/var/log/audit/audit.log文件來監控這些拒絕：
sudo ausearch -m avc -ts recent
這將顯示最近的SELinux拒絕事件，幫助您識別需要調整的策略。
請注意，SELinux配置可能會很復雜，因此在更改策略時要謹慎。在進行更改之前，請確保您了解SELinux的工作原理以及如何正確配置策略。如有必要，請查閱SELinux官方文檔或尋求專業幫助。
