Ubuntu 中恢复 SELinux 的可行方案
一、先确认现状与前提
- 检查状态：运行 getenforce 或 sestatus，常见输出为 Enforcing/Permissive/Disabled。若为 Disabled，说明内核未启用 SELinux，需要重启到启用状态后才能继续。
- 重要提示：Ubuntu 默认使用 AppArmor 而非 SELinux，对 SELinux 的支持相对有限；若你需要完整的 SELinux 功能与生态，可考虑在 CentOS/RHEL/Fedora 等发行版上部署。以下步骤仅在你确实需要启用 SELinux 的前提下进行。
二、启用或重新启用 SELinux（Disabled → Enforcing/Permissive）
- 安装工具并激活：
- 安装：sudo apt install selinux-basics
- 激活：sudo selinux-activate
- 配置启动为 SELinux：
- 编辑 /etc/selinux/config，设置：
- 启用并强制：SELINUX=enforcing
- 或宽容模式：SELINUX=permissive（便于排错）
- 确保内核命令行包含 SELinux：
- 编辑 /etc/default/grub，在 GRUB_CMDLINE_LINUX_DEFAULT 行追加：security=selinux
- 更新引导：执行 sudo update-grub
- 首次从 Disabled 切换到 Enabled 必须重启：
- 重启后验证：getenforce（应返回 Enforcing/Permissive），sestatus 查看详细状态。
三、从备份恢复 SELinux 配置
- 备份位置与方式：SELinux 配置主要在 /etc/selinux/。建议先备份：
- 备份：sudo rsync -a /etc/selinux/ ~/selinux-backup/
- 恢复方式：将备份拷回并按需调整 /etc/selinux/config 的 SELINUX= 值，然后重启系统使配置生效。
四、修复因策略导致的访问拒绝（avc denied）
- 定位问题：查看内核日志中的 avc denied 记录
- 命令：dmesg | grep -i avc 或查看 /proc/kmsg
- 处理思路：
- 排错阶段可临时切到 Permissive：sudo setenforce 0，确认问题后再回到 Enforcing
- 根据日志为相关进程/域补充策略（编写或修改 .te 策略模块，使用工具链编译为 .pp 并加载），然后重启相关服务或系统。
五、回退与故障处理
- 临时回退：遇到严重问题时，可临时切到 Permissive：sudo setenforce 0；必要时在 /etc/selinux/config 改为 SELINUX=permissive 并重启。
- 彻底回退到禁用：将 /etc/selinux/config 设为 SELINUX=disabled 并重启；注意从 Disabled 直接切回 Enforcing 仍需重启才能生效。
- 无法启动时的救援思路：使用 Live USB 启动，挂载原系统分区并 chroot，检查并修正 /etc/selinux/config 与 /etc/default/grub（确保包含 security=selinux），更新 GRUB 后重启。