上一小结，咱们大概知道，SELinux是个什么。这一节想弄明白SELinux是怎么解决问题的？
Security-Enhanced Linux (SELinux)由以下两部分组成：
SELinux带给Linux的主要价值是：提供了一个灵活的，可配置的MAC机制。
SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。
先发上来的是第三部分，前面还有part2未整理好，下面一些内容是细细的读完文档之后的成果，对selinux是越来越感兴趣了。陆续更新中哦。 selinux contexts 系统里的文件和进程都打上的selinux 上下文标记，这些标记包含：selinux 用户，角色，类型，选项，等级。当系统运行selinux时，所有的这些信息来决定访问控制。在红帽子企业版中，selinux提供了一种组合了角色为基础的访问控制（RBAC）,TYPE Enforcement,和混合等级安全(MSL)multi-level。 在linux 操作系统中用 ：ls -Z flies 来查看文件和目录的selinux的上下文。 显示的语法如下：selinux user：role:type:level linux user---->selinux policy---->selinux user policycoreutils-python装包。 [root@kikupotter ~]# semanage login -l 登录名 SELinux 用户 MLS/MCS 范围 __default__ unconfined_u s0s0:c0.c1023 root unconfined_u s0-s0:c0.c1023 system_u system_u s0-s0:c0.c1023 第一列的话是Linux user，第二列是selinux用户。第三列是mls/mcs的范围。这样的话linux user，通过selinux policy 于selinux user关联在一起，selinux user被限定在一定的role，和leave中运行进程。 role selinux的另一部分role-based access control security model(RBAC).role 就是RBAC的属性。 selinux user 要通过role的认证，而role 需要domain的认证。 role相当我momain与selinux user的中间人。这个role可以决定那个domain可以进去。最终，控制哪种类型的类可以通过，增加的安全性。 type type是type enforcement 的属性。 type为进程定义一个domain,为文件定义一个类型。 selinux policy rules定义了怎样的type可以相互访问，domain与type的互访，domain与domain的互访。 level level是mls和mcs的属性。 mls等级是连续的。像这样： lowlevel--highlevel。可以一样或不一样。s0-s0也可一表示成s0. 每个level都用一对sensitivity.category sensitivity:category-set category c0.c3=c0,c1,c2,c3 mcs在红帽子系统里支持1024不同的种类。s0.s0:c0.c1023,sensitivity为s0可以通过任何的category. mls加强了强制访问控制，并且用于lspp环境。要用mls的限制功能要安装，selinux-policy-mls,配置mls为默认的selinux policy.mls 不支持x server所以在桌面环境不可用。 3.1 domain transitions 在一个域中的一个进程要过度到另一个域中通过运行程序的手段，这是需要另一个域的入口点的类型。这个入口点（entrypoint） [root@kikupotter ~]# ls -Z /usr/bin/passwd -rwsr-xr-x. root root system_u:object_r:passwd_exec_t:s0 /usr/bin/passwd A.用户想改密码。为了做这个他运行了passwd. passwd是运行在passwd_exec_t的类型下。 passwd程序通过/etc/shadow,shadow被表上了shadow_t的类型。 [root@kikupotter ~]# ls -Z /etc/shadow -r--------. root root system_u:object_r:shadow_t:s0 /e
SELinux，全称Security-Enhanced Linux，是一种在Linux内核中实现的安全策略，通过强制访问控制来保护系统的完整性。
在 Linux 系统中一切皆文件，资源也属于某种文件。用户在访问文件的时候，系统对权限（读、写 、执行）进行检查。只要用户对文件有足够的权限，就可以任意操作资源。root 用户对所有资源拥有所有权限，是个危险的存在。每年都会看到某职员一不小心把系统“干趴下”的新闻。这种权限管理的主体是用户，被称为 Discretionary Access Control ，DAC ，自主访问控制。
SEAndroid 是一套安全机制，实现的主要目的是为了是Android系统更安全。 SELinux是被设计为一个灵活的可配置的MAC机制。 SEAndroid 是将SELinux 移植到Android 上的产物，可以看成SELinux 辅以一套适用于Android 的策略。
一、SELinux的历史 SELinux全称是Security Enhanced Linux，由美国国家安全部(National Security Agency)领导开发的GPL项目，它拥有一个灵活而强制性的访问控制结构，旨在提高Linux系统的安全性，提供强健的安全保证，可防御未知攻击，相当于B1级的军事安全性能。比MS NT的C2等高得多。 SELinux起源于自1980开始的微内核和操作系统安全的研究，这两条研究线路最后形成了一个叫做的分布式信任计算机（Distribute Trusted Mach
为了提高 Linux 系统的安全性，在 Linux 上通常会使用 SELinux 或 AppArmor 实现强制访问控制（Mandatory Access Control MAC）。对于 MySQL 数据库的强制访问控制策略通常是激活的，如果用户采用默认的配置，并不会感到强制访问控制策略对 MySQL 数据库的影响，一旦用户修改了 MySQL 数据库的默认配置，例如默认的数据目录或监听端口，MySQL 数据库的活动就会被 SELinux 或 AppArmor 阻止，数据库无法启动，本文简单介绍 SELinux 对 MySQL 数据库的影响。
SELinux是安全增强型 Linux（Security-Enhanced Linux）简称 SELinux。它是一个 Linux 内核模块，也是 Linux 的一个安全子系统。
在CentOS 7系统中部署SELinux非常简单，由于SELinux已经作为模块集成到内核中，默认SELinux已经处于激活状态。对管理员来说，更多的是需要配置与管理SELinux，CentOS 7系统中SELinux全局配置文件为/etc/sysconfig/selinux，内容如下：
在运行SELinux的系统上，所有进程和文件都会有相应的标签。新文件通常从父目录继承其SELinux上下文，从而确保它们具有适当的上下文。
Enforcing：强制模式。代表SELinux在运行中，且已经开始限制domain/type之间的验证关系
SELinux按照默认拒绝的原则运行：任何未经明确允许的行为都会被拒绝。SELinux可按两种全局模式运行：
SELinux(Security-Enhanced Linux)是一种基于 域-类型 模型（domain-type）的强制访问控制（MAC）安全系统，它由NSA编写并设计成内核模块包含到内核中，相应的某些安全相关的应用也被打了SELinux的补丁，最后还有一个相应的安全策略。任何程序对其资源享有完全的控制权。假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下，那么在DAC情况下没人能阻止他。SELinux提供了比传统的UNIX权限更好的访问控制。
约束（constraints），是SELinux很有用的特新，它的使用十分普遍。很多时候，用户觉得约束是一种添加到黑名单上，并使其受限的方法。当然前提是默认允许，约束它告诉人们的是在指定情况下这是不允许的。但是在SELinux中，这种感觉是不准确的。SELinux中，约束更像是过滤器，它遵循白名单的方法。SELinux中的约束（constraints）是在指定的情况下允许某些操作，不匹配要求的操作则被禁止。
sestatus命令将显示SELinux启用状态。还显示有关SELinux的其他信息，在此进行说明。以下是CentOS 8系统上的sestatus命令：
通过修改配置文件配置网络信息（需要重启网络服务使配置生效，配置会永久有效） 网络配置工具： 图形界面：NetworkManager服务 命令界面：nmcli 重启网络服务： systemctl restart NetworkManager nmcil connection down/up ip地址
关于selinux的详细资料，请查阅http://blog.csdn.net/innost/article/details/19299937
SELinux最初是由美国安全局NSA发起的项目，是基于强制访问控制(MAC)策略的，为每一个主体和客户都提供了个虚拟的安全“沙箱”，只允许进程操作安全策略中明确允许的文件。当Linux开启了SELinux安全策略，所有的主体对客户的访问必须同时满足传统的自主访问控制(DAC)和SELinux提供的强制访问控制(MAC)策略。 在虚拟化环境下，通常是多个VM运行在同一个宿主机（物理机）上，通常由同一个用户启动多个VM管理进程（如：qemu-kvm或者vmx等），而这些VM可能为不同的租户服务，如果
安全上下文是一个简单的、一致的访问控制属性，在SELinux中，类型标识符是安全上下文的主要组成部分，由于历史原因，一个进程的类型通常被称为一个域（domain），"域"和"域类型"意思都一样，我们不必苛刻地去区分或避免使用术语域，通常，我们认为【域】、【域类型】、【主体类型】和【进程类型】都是同义的，即都是安全上下文中的“TYPE”。
本文来讲述 SELinux 策略常用的语法，然后解读一下 SELinux 这个项目中给出的示例策略
SeLinux全称为安全增强式 Security-Enhanced Linux（SeLinux），是一个在内核的强制存取控制（MAC）安全性机制。SeLinux的整体架构和原理都比较简单，使用也不复杂，其复杂的地方在于规则非常复杂，每个进程都要有规则策略；
当我们执行系统调用的时候，会首先对某些错误情况进行检查，如果失败通常会得到一些 error 信息，通过查看全局变量 errno 可以知道到底是哪一类错误
从进入了 CentOS 5.x 之后的 CentOS 版本中 (当然包括 CentOS 7)，SELinux 已经是个非常完备的核心模块了!尤其 CentOS 提供了很多管理 SELinux 的指令与机制，因此在整体架构上面是单纯且容易操作管理的!所以，在没有自行开发网络服务软件以及使用其他第三方协力软件的情况下，也就是全部使用 CentOS 官方提供的软件来使用我们服务器的情况下，建议大家不要关闭 SELinux ! 让我们来仔细的玩玩这家伙吧!
安全、坚固、遵从性、策略是末世中系统管理员的四骑士。除了我们的日常任务之外 —— 监控、备份、实施、调优、更新等等 —— 我们还需要负责我们的系统安全。即使这些系统是第三方提供商告诉我们该禁用增强安全性的系统。这看起来像《碟中碟》中 Ethan Hunt 的工作一样。
回到 Kernel 2.6 时代，那时候引入了一个新的安全系统，用以提供访问控制安全策略的机制。这个系统就是 Security Enhanced Linux (SELinux)，它是由美国国家安全局（NSA）贡献的，它为 Linux 内核子系统引入了一个健壮的强制控制访问Mandatory Access Control架构。
Android 5.0以后完全引入了 SEAndroid/SELinux 安全机制，这样即使拥有 root 权限或 chmod 777 ，仍然无法再JNI以上访问内核节点。
通过前面的示例策略，大家对 SELinux 应该有那么点感觉认识了，从这篇开始的三篇文章讲述 SELinux 的三种安全模型，会涉及一些代码，旨在叙述 SELinux 内部的原理
安全增强型 Linux（Security-Enhanced Linux）简称 SELinux，它是 Linux 的一个安全子系统。SELinux 主要作用是最大限度地减小系统中服务进程可访问的资源（最小权限原则）。对资源的访问控制分为两类: DAC和MAC.
使用如下系统(centos)运行容器后，在容器内的挂载目录内执行ls命令出现了“Permission denied”的错误
SELinux使用类型强制来改进强制访问控制。所有的主体（程序进程）对客体（文件/socket等资源）的访问都有一条TE规则来许可。当程序访问一个资源的时候，系统会搜索所有的TE规则集，并根据结果进行处理。这个规则集是由访问向量规则（AV， Access Vector）来描述的。
在 SELinux 出现之前，Linux 上的安全模型叫 DAC，全称是 Discretionary Access Control，翻译为自主访问控制。
安全增强型 Linux（Security-Enhanced Linux）简称 SELinux，它是一个 Linux 内核模块，也是 Linux 的一个安全子系统。
自从Android 4.4强制开启SELinux以后，在开发中我们经常会遇到avc denied的问题，为了方便开发调试我们会将SELinux关闭，那么本章将带领读者怎么临时和永久关闭Android的SELinux。
Docker目前已经在安全方面做了一定的工作，包括Docker daemon在以TCP形式提供服务的同时使用传输层安全协议;在构建和使用镜像时会验证镜像的签名证书;通过cgroups及namespaces来对容器进行资源限制和隔离;提供自定义容器能力(capability)的接口;通过定义seccomp profile限制容器内进程系统调用的范围等。如果合理地实现上述安全方案，可以在很大程度上提高Docker容器的安全性。
基于release工程的kubernetes1.7.3 rpm包的编译生成
在网上搜索一番后，一个可行的方案如下(改变storage driver类型， 禁用selinux):
一个程序被加载到内存当中运行，那么在内存内的那个数据就被称为进程（process）。进程是操作系统上非常重要的概念，所有系统上面跑的数据都会以进程的类型存在。
Apache程序是目前拥有很高市场占有率的Web服务程序之一，其跨平台和安全性广泛被认可且拥有快速、可靠、简单的API扩展。 它的名字取自美国印第安人土著语，寓意着拥有高超的作战策略和无穷的耐性，在红帽RHEL5、6、7系统中一直作为着默认的Web服务程序而使用，并且也一直是红帽RHCSA和红帽RHCE的考试重点内容。Apache服务程序可以运行在Linux系统、Unix系统甚至是Windows系统中，支持基于IP、域名及端口号的虚拟主机功能、支持多种HTTP认证方式、集成有代理服务器模块、安全Socket层(SSL)、能够实时监视服务状态与定制日志消息，并有着各类丰富的模块支持。
SELinux（Security Enhanced Linux）是美国国家安全局2000年发布的一种高级MAC(Mandatory Access Control，强制访问控制)机制，用来预防恶意入侵。SELinux在DAC（Discretionary Access Control，自主访问控制）的基础上实现了强制访问控制，比如读、写和执行权限。
昨天和同事花了近半天才梳理出来一个rc文件中set_prop的流程，足见android底层服务设计之复杂！
本文和等保联系不是很密切，还是说一了些linux里细节一些的东西，所以有可能会浪费你生命中的好几分钟，同时我使用的是centos6。
说起SELinux，多数Linux发行版缺省都激活了它，可见它对系统安全的重要性，可惜由于它本身有一定的复杂性，如果不熟悉的话往往会产生一些看似莫名其妙的问题，导致人们常常放弃使用它，为了不因噎废食，学学如何解决SELinux问题是很有必要的。
Linux命令的通用命令格式：命令字 [选项] [参数] 选项及参数的含义 选项：用于调节命令的具体功能 以 “-”引导短格式选项（单个字符），例如“-l” 以“--”引导长格式选项（多个字符），例如“--color” 多个短格式选项可以写在一起，只用一个“-”引导，例如“-al” 参数：命令操作的对象，如文件、目录名等
描述:它是个ELF可执行文件,该命令将系统配置变量值写入标准输出用于获取系统信息,在进行LINUX编程中可以提供其帮忙;
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
