AL2023 のデフォルト SELinux ステータスとモード

AL2023 では、SELinux はデフォルトでモードに設定されています。enabled permissivepermissive モードでは、アクセス拒否は記録されますが、強制ではありません。

getenforce または sestatus コマンドは、現在の SELinux のステータス、ポリシー、モードを知ることができます。

デフォルトステータスが enabled およびに permissive 設定されていると、getenforce コマンドは permissive を返します。

以下の例に示すように、sestatusこのコマンドは SELinux のステータスと現在の SELinux ポリシーを返します。

$ sestatus
SELinux status:                 enabled
  SELinuxfs mount:                /sys/fs/selinux
  SELinux root directory:         /etc/selinux
  Loaded policy name:             targeted
  Current mode:                   permissive
  Mode from config file:          permissive
  Policy MLS status:              enabled
  Policy deny_unknown status:     allowed
  Memory protection checking:     actual (secure)
  Max kernel policy version:      33

SELinux permissive をモードで実行すると、ユーザーがファイルに誤ってラベルを付けることがあります。SELinux を disabled ステータスで実行すると、ファイルにはラベルが付けられません。enforcing モードに変更すると、正しくないファイルやラベル付けされていないファイルの両方が問題を引き起こす可能性があります。

SELinux は、この問題を回避するために自動的にファイルにラベルを付け直します。SELinux は、ステータスを enabled に変更したときの自動再ラベル付けにより、ラベル付けの問題を防ぎます。