Ubuntu为何默认关闭SELinux

Ubuntu 默认不启用 SELinux，而是使用 AppArmor 作为默认的安全增强机制，这背后有历史、技术、易用性和维护成本等多方面原因。下面分点说明：

1️⃣ Ubuntu 的技术路线选择：AppArmor 而非 SELinux

Ubuntu 从早期开始就选择了 AppArmor，而不是 SELinux，主要原因包括：

✅ AppArmor 更简单、更易维护

• 基于路径（path-based），而不是 SELinux 的标签体系
• 配置文件（profile）直观，接近“白名单规则”
• 对系统管理员和发行版维护者更友好

✅ 与 Ubuntu 的“易用性”理念一致

Ubuntu 的目标是：

让 Linux 对普通用户和服务器管理员都“开箱即用”

SELinux 的学习曲线非常陡峭，而 AppArmor 更容易默认启用而不影响用户。

2️⃣ SELinux 的复杂性与维护成本

SELinux 的特点：

对 Ubuntu 来说：

• 维护一套完整的 SELinux 策略成本极高
• 与 Debian 上游策略不完全一致
• 与 Ubuntu 的“通用发行版”定位冲突

3️⃣ Debian 上游的影响

Ubuntu 基于 Debian，而 Debian：

• 长期默认 不启用 SELinux
• 官方更倾向于 AppArmor（虽然支持 SELinux）

Ubuntu 作为 Debian 的衍生版，自然延续了这一选择。

4️⃣ 历史原因：Ubuntu 早期就绑定了 AppArmor

• Ubuntu 7.10 开始引入 AppArmor
• 很多核心服务（如 cups、dhclient、libvirt）都有现成的 AppArmor profile
• 生态已经形成，切换成本极高

5️⃣ “默认关闭” ≠ “不支持”

⚠️ 重要说明：

Ubuntu 并不是完全不支持 SELinux

而是：

• ✅ 默认不启用
• ✅ 默认不安装完整策略
• ✅ 默认使用 AppArmor

如果你需要，可以手动启用 SELinux，但：

• 需要安装 selinux、selinux-basics、selinux-policy-default
• 需要修改内核参数
• 需要重新打标签（relabel）
• 可能与 AppArmor 冲突

6️⃣ 为什么有些发行版启用 SELinux？

原因：

• RHEL 面向企业安全合规（如 Common Criteria、FIPS）
• SELinux 能满足更严格的审计与强制访问控制需求

7️⃣ 总结一句话

Ubuntu 默认关闭 SELinux，是因为它选择了 AppArmor 作为更简单、更易维护、更适合大众发行版的安全方案，而不是因为 SELinux 不好。

如果你愿意，我可以：

• 对比 SELinux vs AppArmor 的底层机制
• 教你 在 Ubuntu 上启用 SELinux
• 给你一个 “什么时候该用 SELinux” 的判断标准