centos selinux安全级别怎么选

CentOS 中 SELinux 安全级别选择指南

一、先明确两个维度

• 运行模式（决定拦不拦）：
  • Enforcing：强制执行策略，违规访问会被拒绝并记录日志。
  • Permissive：只记录不拦截，便于排障与过渡。
  • Disabled：完全关闭 SELinux，需重启才生效，且从 disabled 切回 enforcing 也必须重启。
• 策略类型（决定怎么拦）：
  • targeted：默认策略，仅对部分关键进程做强制访问控制，其他进程多为 unconfined_t，对业务影响小、易用性高。
  • mls：多级安全策略，粒度极细但配置复杂，多用于高安全场景（如涉密），一般服务器不建议使用。

二、不同场景的选择建议

三、快速切换与验证

• 查看与临时切换
  • 查看状态：getenforce、sestatus
  • 临时切换：setenforce 0（Permissive）、setenforce 1（Enforcing）；仅能在 enforcing/permissive 间切换，不能 setenforce 到 disabled。
• 永久生效
  • 编辑配置文件：/etc/selinux/config
    • 设置模式：SELINUX=enforcing|permissive|disabled
    • 设置策略：SELINUXTYPE=targeted|mls
  • 注意：改为 disabled 或首次启用 mls 通常需要重启；从 disabled 改回 enforcing 也需重启。
• 变更后自检
  • 重启后用 getenforce、sestatus 确认；若切到 mls，建议按引导执行文件重标记（如创建 /.autorelabel 或执行 fixfiles -F onboot）。

四、排障与策略收敛建议

• 先看拒绝日志：ausearch -m avc -ts recent 或 grep denied /var/log/audit/audit.log；必要时安装 setroubleshoot 并使用 sealert -l <UUID> 获取可读化建议。
• 宽容期收敛策略：
  • 自动生成模块：audit2allow -a -M mypolicy
  • 加载模块：semodule -i mypolicy.pp
• 文件与端口上下文：
  • 持久化设置文件上下文：semanage fcontext -a -t <type> "/path(/.*)?"
  • 应用上下文：restorecon -R /path
  • 放通端口类型：semanage port -a -t <port_type> -p tcp <port>
• 细粒度开关：用 getsebool -a | grep <服务名> 查看布尔值，必要时 setsebool -P <name> on/off 持久化调整。