SELinux（Security-Enhanced Linux）是一種在Linux系統上實現強制訪問控制（MAC）的安全模塊。它通過為進程和文件分配安全上下文來限制它們的訪問權限，從而提高系統的安全性。以下是在Ubuntu上實現SELinux強制訪問控制的步驟：
安裝SELinux：首先，確保你的Ubuntu系統已經安裝了SELinux。你可以使用以下命令來安裝：
sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default
啟用SELinux：安裝完成后，你需要啟用SELinux。編輯/etc/selinux/config文件，將SELINUX設置為enforcing：
sudo nano /etc/selinux/config
將以下行：
SELINUX=disabled
更改為：
SELINUX=enforcing
保存并退出文件。然后重啟系統以使更改生效。
配置SELinux策略：SELinux策略定義了進程和文件的安全上下文以及它們之間的訪問控制規則。你可以使用現有的策略，也可以創建自定義策略。要查看當前加載的策略，請運行：
sestatus
要更新策略，請編輯/etc/selinux/targeted/policy/policies/目錄下的策略文件。例如，要更新policy.policies文件，請運行：
sudo nano /etc/selinux/targeted/policy/policies/policy.policies
在文件中添加或修改規則以定義訪問控制策略。保存并退出文件。
應用SELinux策略：更新策略后，需要重新編譯并加載新的策略模塊。運行以下命令：
sudo checkmodule -M -m -o policy.mod policy.policies
sudo semodule_package -o policy.pp -m policy.mod
sudo semodule -i policy.pp
這將編譯策略文件，創建一個策略模塊，并將其加載到內核中。
驗證SELinux策略：要驗證策略是否正確應用，可以使用audit2why工具分析SELinux拒絕日志。首先，啟用SELinux審計日志記錄：
sudo nano /etc/selinux/config
將以下行：
SELINUX=enforcing
更改為：
SELINUX=enforcing
SELININUX_AUDIT=1
保存并退出文件。然后重啟系統以使更改生效。
現在，你可以查看/var/log/audit/audit.log文件中的SELinux拒絕日志，并使用audit2why工具分析它們：
sudo ausearch -m avc -ts recent | audit2why
這將顯示與SELinux拒絕相關的詳細信息和原因。
通過以上步驟，你可以在Ubuntu系統上實現SELinux強制訪問控制。請注意，SELinux策略配置可能會很復雜，因此在實際環境中應用策略時，請確保充分了解SELinux的工作原理和規則。
