Menu Close
Settings Close

Language and Page Formatting Options

Red Hat Training

A Red Hat training course is available for RHEL 8

6.3. 将 SELinux 策略切换到 MLS

使用以下步骤将 SELinux 策略从 targeted 切换到多级别安全(MLS)。

重要

红帽不推荐在运行 X 窗口系统的系统中使用 MLS 策略。另外,当您使用 MLS 标签重新标记文件系统时,系统可能会阻止受限制的域访问,这会阻止您的系统正确启动。因此请确定您在重新标记文件前将 SELinux 切换到 permissive 模式。在大多数系统中,您会看到在切换到 MLS 后出现了很多 SELinux 拒绝信息,且其中很多都不容易修复。

步骤

  1. 安装 selinux-policy-mls 软件包:

    # yum install selinux-policy-mls
  2. 在您选择的文本编辑器中打开 /etc/selinux/config 文件,例如:

    # vi /etc/selinux/config
  3. 将 SELinux 模式从 enforcing 改为 permissive,并从 targeted 策略切换到 MLS:

    SELINUX=permissive
    SELINUXTYPE=mls

    保存更改,退出编辑器。

  4. 在启用 MLS 策略前,您必须使用 MLS 标签重新标记文件系统中的每个文件:

    # fixfiles -F onboot
    System will relabel on next boot
  5. 重启系统:

    # reboot
  6. 检查 SELinux 拒绝信息:

    # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

    因为前面的命令没有涵盖所有情况,请参阅 SELinux 故障排除中有关识别、分析以及修复 SELinux 拒绝的指导。

  7. 在确定您的系统中没有与 SELinux 相关的问题后,通过更改 /etc/selinux/config 中的对应选项将 SELinux 切换回 enforcing 模式:

    SELINUX=enforcing
  8. 重启系统:

    # reboot
重要

如果您的系统没有启动,或者您无法在切换到 MLS 后登录,请将 enforcing=0 参数添加到内核命令行。如需更多信息,请参阅在引导时更改 SELinux 模式

另请注意,在 MLS 中,以 root 用户身份通过 SSH 登录映射到 sysadm_r SELinux 角色,它与作为 staff_r 中的 root 登录不同。在 MLS 中首次启动系统前,请考虑通过将 ssh_sysadm_login SELinux 布尔值设置为 1 来允许以 sysadm_r 身份登录 SSH 登录。要稍后才启用 ssh_sysadm_login(已在 MLS 中),您需要在 staff_r 中以 root 身份登陆,使用 newrole -r sysadm_r 命令切换到 sysadm_r 中的 root,然后将布尔值设置为 1

验证

  1. 验证 SELinux 是否在 enforcing 模式下运行:

    # getenforce
    Enforcing
  2. 检查 SELinux 的状态是否返回 mls 值:

    # sestatus | grep mls
    Loaded policy name:             mls

其他资源

  • The fixfiles(8), setsebool(8), 和 ssh_selinux(8) man pages.