Red Hat Training

A Red Hat training course is available for RHEL 8

2.3. Mudando para o modo de aplicação

Use o seguinte procedimento para mudar o SELinux para o modo de aplicação. Quando o SELinux está funcionando em modo de aplicação, ele aplica a política SELinux e nega o acesso com base nas regras da política SELinux. No RHEL, o modo de aplicação é ativado por padrão quando o sistema foi inicialmente instalado com o SELinux.

Pré-requisitos

  • Os pacotes selinux-policy-targeted, libselinux-utils, e policycoreutils estão instalados em seu sistema.
  • Os parâmetros do kernel selinux=0 ou enforcing=0 não são utilizados.

Procedimento

  1. Abra o arquivo /etc/selinux/config em um editor de texto de sua escolha, por exemplo: 

    # vi /etc/selinux/config

  2. Configure a opção SELINUX=enforcing: 

    # This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#       targeted - Targeted processes are protected,
#       mls - Multi Level Security protection.
SELINUXTYPE=targeted

  3. Salve a mudança, e reinicie o sistema: 

    # reboot

    Na próxima inicialização, o SELinux reetiqueta todos os arquivos e diretórios dentro do sistema e adiciona o contexto SELinux para arquivos e diretórios que foram criados quando o SELinux foi desativado.

Etapas de verificação

  1. Após o reinício do sistema, confirme que o comando getenforce retorna Enforcing: 

    $ getenforce
Enforcing
Nota

Depois de mudar para o modo de aplicação, a SELinux pode negar algumas ações por causa de regras incorretas ou ausentes da política da SELinux. Para ver quais ações o SELinux nega, digite o seguinte comando como raiz: 

# ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts today

Alternativamente, com o pacote setroubleshoot-server instalado, entre: 

# grep "SELinux is preventing" /var/log/messages

Se o SELinux estiver ativo e o daemon de Auditoria (auditd) não estiver rodando em seu sistema, então procure por certas mensagens SELinux na saída do comando dmesg: 

# dmesg | grep -i -e type=1300 -e type=1400

Consulte Solução de problemas relacionados à SELinux para obter mais informações.