1.5. SELinux 状态和模式

SELinux 可使用三种模式之一运行： enforcing（强制）、permissive（宽容）或 disabled（禁用）。

  • Enforcing 模式是默认操作模式，在 enforcing 模式下 SELinux 可正常运行，并在整个系统中强制实施载入的安全策略。
  • 在 permissive 模式中，系统会象 enforcing 模式一样加载安全策略，包括标记对象并在日志中记录访问拒绝条目，但它并不会拒绝任何操作。不建议在生产环境系统中使用 permissive 模式，但 permissive 模式对 SELinux 策略开发和调试很有帮助。
  • 强烈建议不要使用禁用（disabled）模式。它不仅会使系统避免强制使用 SELinux 策略，还会避免为任何持久对象（如文件）添加标签，这使得在以后启用 SELinux 非常困难。

使用 setenforce 实用程序在 enforcing 模式和 permissive 模式之间切换。使用 setenforce 所做的更改在重新引导后不会保留。要更改为 enforcing 模式，请以 Linux root 用户身份输入 setenforce 1 命令。要更改为 permissive 模式，请输入 setenforce 0 命令。使用 getenforce 实用程序查看当前的 SELinux 模式： 

# getenforce
Enforcing
# setenforce 0
# getenforce
Permissive
# setenforce 1
# getenforce
Enforcing

在 Red Hat Enterprise Linux 中，您可以在系统处于 enforcing 模式时，将独立的域设置为 permissive 模式。例如，使 httpd_t 域为 permissive 模式： 

# semanage permissive -a httpd_t

请注意，permissive 域是一个强大的工具，它可能会破坏您系统的安全性。红帽建议谨慎使用 permissive 域，如仅在调试特定情境时使用。