为什么selinux启动失败

SELinux 启动失败（或启动后进入 disabled / permissive，而非 enforcing）通常由以下几类原因导致。我按「最常见 → 较少见」给你梳理，并附带排查方法。

一、最常见原因

1️⃣ 内核未启用 SELinux 支持

如果内核编译时未开启 SELinux：

CONFIG_SECURITY_SELINUX=y

SELinux 根本无法启用。

检查方式：

grep SELINUX /boot/config-$(uname -r)

或

cat /proc/filesystems | grep selinux

✅ 解决：使用支持 SELinux 的内核（如 RHEL/CentOS 官方内核）

2️⃣ 启动参数禁用了 SELinux

GRUB 中常见错误参数：

selinux=0

或

enforcing=0

检查方式：

cat /proc/cmdline

✅ 解决： 编辑 /etc/default/grub，删除 selinux=0

grub2-mkconfig -o /boot/grub2/grub.cfg
reboot

3️⃣ SELinux 配置文件被设为 disabled

cat /etc/selinux/config

如果看到：

SELINUX=disabled

系统不会加载 SELinux 策略

✅ 解决：

SELINUX=enforcing

然后 必须重启

⚠️ 注意：从 disabled → enforcing 必须重启，不能 setenforce

二、策略或文件系统问题

4️⃣ 根文件系统不支持 SELinux（缺少 xattr）

SELinux 依赖 extended attributes：

mount | grep " / "

如果看到：

noacl / nouser_xattr

或文件系统是 vfat / ntfs / tmpfs

✅ 解决：

• 使用 ext4 / xfs
• 挂载时确保支持 user_xattr

5️⃣ 策略文件损坏或缺失

常见于：

• 手动删过 /etc/selinux
• 升级失败
• 容器/最小化系统

检查：

ls /etc/selinux/targeted
rpm -V selinux-policy-targeted

✅ 解决：

yum reinstall selinux-policy-targeted

三、系统状态相关

6️⃣ 当前是 permissive 而非失败

有时“看起来失败”其实只是：

getenforce
# Permissive

✅ 临时开启：

setenforce 1

7️⃣ 启动时报错但自动降级

日志中常见：

SELinux:  Unable to load policy

查看：

dmesg | grep -i selinux
journalctl -b | grep selinux

四、特殊环境

8️⃣ 容器 / 云镜像 / WSL

• Docker 容器默认无 SELinux
• WSL1 不支持
• 某些轻量云镜像裁剪了 SELinux

✅ 解决：宿主机启用，容器中通常不启用

快速自检清单 ✅

getenforce
sestatus
cat /etc/selinux/config
cat /proc/cmdline
dmesg | grep selinux

如果你愿意，可以把下面信息发我，我可以精确判断原因：

• 系统版本（CentOS / RHEL / Ubuntu / 其他）
• sestatus 输出
• dmesg | grep selinux 日志
• 是物理机 / 虚拟机 / 容器

我可以一步步帮你修。