Ubuntu 上 SELinux 的精选资源与学习路径
一 入门与背景
- 了解 SELinux 的核心概念与工作机制，特别是三种运行模式：Enforcing（拒绝并记录违规）、Permissive（仅记录不拒绝）、Disabled（关闭，需重启且切换路径受限）。Ubuntu 默认启用的是 AppArmor，若要在 Ubuntu 上使用 SELinux，需要额外安装与启用相关组件。以上要点有助于建立正确的预期与基础认知。
二 官方与权威文档
- SELinux Project 官方文档：系统学习策略语言、类型强制、客体类别与调试方法的权威入口，适合作为长期参考手册。
- Ubuntu 社区 Wiki 的 SELinux 页面：提供在 Ubuntu 上安装、启用、切换模式与常见注意事项的实操指引，适合作为第一步的本地化参考。
三 实操教程与案例
- Ubuntu 20.04 实操系列文章（含 Proftpd 案例）：覆盖从安装、激活、模式切换、标签修复到服务联调的完整流程，适合边学边做的“从零到一”。
- 问答式配置与排错指南：汇总了在 Ubuntu 上启用、配置、策略管理与日志分析的常用命令与步骤，便于快速检索与对照执行。
四 常用命令速查表
| 目标 |
命令示例 |
| 查看状态 |
sestatus；getenforce |
| 切换运行模式 |
setenforce 0（Permissive）；setenforce 1（Enforcing） |
| 永久配置模式 |
编辑 /etc/selinux/config，设置 SELINUX=enforcing |
| 安装基础组件 |
apt install selinux-basics selinux-policy-default policycoreutils selinux-utils auditd |
| 激活 SELinux |
selinux-activate（Ubuntu 常用激活方式） |
| 端口标签管理 |
semanage port -a -t http_port_t -p tcp 8080 |
| 文件上下文管理 |
semanage fcontext -a -t httpd_sys_content_t “/var/www/html(/.*)?”；restorecon -Rv /var/www/html |
| 查看拒绝日志 |
ausearch -m avc -ts recent；aureport -m avc |
| 从日志生成策略模块 |
grep avc /var/log/audit/audit.log |
| 解释拒绝原因 |
ausearch -m avc -ts recent |
| 以上命令覆盖了在 Ubuntu 上启用、配置、策略微调与问题定位的高频操作，建议结合具体场景逐步练习。 |
|
五 学习路径与注意事项
- 学习路径建议：先在非生产环境完成“安装与激活 → Permissive 观察 → 日志分析 → 最小权限策略迭代 → Enforcing 稳定”的闭环；优先掌握文件上下文与端口标签两类最常见问题。
- 重要注意事项：
- 在 Ubuntu 上 SELinux 的支持与生态相对 RHEL/CentOS 更有限，遇到复杂场景可优先参考 RHEL 系资料并在测试环境充分验证。
- 切换 Enforcing/Permissive 可直接用 setenforce；但从 Disabled 切换到其他模式或反向切换时，通常需要重启；从 Disabled 首次启用会触发文件系统重新打标，耗时较长。
- 生产环境建议保持 Enforcing，并通过策略模块逐步收敛权限，避免一次性放宽策略。