Ubuntu 上让 SELinux 与旧版本组件或旧系统保持兼容的思路
一 兼容旧系统的总体策略
- 优先采用宽容模式 permissive进行平滑过渡，验证无误后再切换到强制模式 enforcing，避免一次性引入大量拒绝导致业务中断。
- 首次启用务必完成全量重新标记 .autorelabel，确保既有文件具备正确的安全上下文，减少启动后因标签缺失导致的异常。
- 保留或迁移到AppArmor作为备选安全框架（Ubuntu 默认启用 AppArmor；启用 SELinux 后 AppArmor 不会生效，二者不会同时强制生效），便于在出现兼容性问题时快速回退。
二 与旧版 Ubuntu 的兼容要点
- 早期版本（如10.10）中，安装 SELinux 与 AppArmor 存在包冲突，通常需要先卸载 AppArmor 相关软件包再安装 SELinux，否则会出现依赖冲突或无法进入系统的情况。
- 在旧系统上启用 SELinux 时，同样遵循“先 permissive、再 enforcing”的流程，并确保完成文件系统重新标记，以降低因旧文件无标签导致的启动或运行问题。
三 与旧应用和容器环境的兼容要点
- 面向容器（如 Docker）的场景，若遇到因 SELinux 策略导致的挂载或权限问题，可先在 Ubuntu 主机上将 SELinux 设为permissive以恢复业务，再逐步为容器与宿主机配置合适的策略，避免因强制策略造成容器无法启动。
- 对于依赖旧版库或旧策略模块的应用，建议先在permissive下收集 auditd 日志，依据拒绝记录编写或调整本地策略模块，再逐步收紧到 enforcing，确保兼容性。
四 快速操作清单
- 安装与激活
- 安装组件：sudo apt install selinux-basics auditd setools selinux-policy-dev
- 激活 SELinux：sudo selinux-activate（会写入内核启动参数 security=selinux）
- 首次启用
- 配置模式：编辑 /etc/selinux/config，设置 SELINUX=permissive
- 全量重标：touch /.autorelabel
- 重启：系统将在启动时为文件系统重新打标签
- 验证与切换
- 查看状态：sestatus（应看到 enabled、Loaded policy name: default、Current mode: permissive）
- 切 enforcing：在确认无大量拒绝后，将 SELINUX=enforcing 并重启
- 回退方案
- 临时回退：将 SELINUX=permissive 并重启
- 彻底回退：编辑 /etc/default/grub 移除 security=selinux，更新 GRUB 并重启；必要时重装或恢复 AppArmor。