10.3. SELinux

/etc/selinux/config 를 통한 SELinux 비활성화 지원 삭제

RHEL 9.0 릴리스에서는 /etc/selinux/config 파일의 SELINUX=disabled 옵션을 통해 SELinux 비활성화 지원이 커널에서 제거되었습니다. /etc/selinux/config 를 통해서만 SELinux를 비활성화하면 시스템이 SELinux를 활성화하지만 정책이 로드되지 않고 SELinux 보안 후크가 커널에 등록되어 있습니다. 즉, /etc/selinux/config 를 사용하여 SELinux를 비활성화하면 여전히 일부 시스템 리소스가 필요하며 대신 모든 성능에 민감한 시나리오에서 커널 명령줄을 사용하여 SELinux를 비활성화해야 합니다.

또한 이 변경 사항을 반영하도록 Anaconda 설치 프로그램과 해당 도움말 페이지가 업데이트되었습니다. 또한 이러한 변경으로 인해 LSM(Linux Security Module) 후크에 대한 초기화 후 읽기 전용 액세스가 가능합니다.

시나리오에 SELinux를 비활성화해야 하는 경우 selinux=0 매개 변수를 커널 명령줄에 추가합니다.

자세한 내용은 SELinux 런타임 비활성화 FedoraECDHE 페이지에 대한 지원 제거를 참조하십시오.

SELinux 정책에 제한된 추가 서비스

RHEL 9.3 릴리스에는 다음 systemd 서비스를 제한하는 SELinux 정책에 추가 규칙이 추가되었습니다.

  • QAT
  • systemd-pstore
  • boothd
  • fdo-manufacturing-server
  • fdo-rendezvous-server
  • fdo-client-linuxapp
  • fdo-owner-onboarding-server

결과적으로 이러한 서비스는 더 이상 unconfined_service_t SELinux 레이블로 실행되지 않으며 SELinux 강제 모드에서 성공적으로 실행됩니다.