Ubuntu SELinux 是如何管理文件访问的

作者：袖梨 2026-07-04

Ubuntu 上启用与前提

Ubuntu 默认使用 AppArmor 而非 SELinux。如确需使用 SELinux，应先安装并启用相关组件，再按 SELinux 的方式管理文件访问。
安装与启用步骤（示例）：
- 安装基础与策略工具：sudo apt-get update && sudo apt-get install selinux-basics selinux-policy-default policycoreutils
- 启用 SELinux（安装器会引导设置并提示重启）：sudo selinux-activate
- 重启后验证：sestatus（应显示 enabled 与当前模式）
- 注意：在 Ubuntu 上 SELinux 的支持与生态相对有限，生产环境需充分测试与评估。

管理文件访问的核心机制

SELinux 通过给进程与文件打上**安全上下文（Security Context）并实施类型强制（Type Enforcement）**来管控访问：进程运行在特定的“域”（domain），文件具有“类型”（type）；只有当策略允许该域对目标类型执行相应访问（如读、写、执行）时才放行，且与传统的 DAC（rwx/属主/属组）共同决定最终权限。典型字段形如：user:role:type:level。例如 Web 服务进程域 httpd_t 通常可读 httpd_sys_content_t 类型的文件。

文件访问管理常用操作

查看与理解上下文
- 查看文件/目录：ls -Z /path
- 查看进程：ps -eZ
临时修改文件上下文（重启或 restorecon 后可能恢复）
- chcon -t 类型文件/目录（如：chcon -t httpd_sys_content_t /var/www/html/index.html）
永久修改默认上下文与生效
- 添加默认映射：semanage fcontext -a -t httpd_sys_content_t “/var/www/html(/.*)?”
- 应用默认标签：restorecon -Rv /var/www/html
布尔值开关（服务功能的细粒度控制）
- 查看：getsebool -a | grep 服务名
- 临时/永久设置：setsebool 布尔名 on|off；加 -P 为永久（如：setsebool -P httpd_enable_homedirs on）
模式切换（排障常用）
- 查看：getenforce（或 sestatus）
- 临时：sudo setenforce 0|1（0=Permissive，1=Enforcing）
- 永久：编辑 /etc/selinux/config 的 SELINUX= 项并重启。

排错与策略定制

定位拒绝事件
- 查看 AVC 拒绝：sudo ausearch -m avc -ts recent
- 或：sudo journalctl | grep AVC
自动生成并加载本地策略模块（仅在明确安全影响后使用）
- ausearch -c ‘程序名’ --raw | audit2allow -M mypol
- sudo semodule -i mypol.pp
上下文异常或大面积标签错乱时的恢复
- 触发全系统重标记：sudo touch /.autorelabel && sudo reboot。

与 AppArmor 的关系与选择