AL2023 でのデフォルトの SELinux のステータスとモード

AL2023 では、SELinux はデフォルトで enabled となり、permissive モードに設定されています。permissive モードでは、アクセス拒否は記録されますが、強制ではありません。

getenforce または sestatus コマンドは、現在の SELinux のステータス、ポリシー、モードを知ることができます。

デフォルトステータスが enabled およびに permissive 設定されていると、getenforce コマンドは permissive を返します。

以下の例で示すように、sestatus コマンドは SELinux のステータスと現在の SELinux ポリシーを返します。

$ sestatus
SELinux status:                 enabled
  SELinuxfs mount:                /sys/fs/selinux
  SELinux root directory:         /etc/selinux
  Loaded policy name:             targeted
  Current mode:                   permissive
  Mode from config file:          permissive
  Policy MLS status:              enabled
  Policy deny_unknown status:     allowed
  Memory protection checking:     actual (secure)
  Max kernel policy version:      33

SELinux を permissive モードで実行すると、ユーザーがファイルに誤ったラベルを付ける可能性があります。SELinux を disabled ステータスで実行すると、ファイルにはラベルが付けられません。enforcing モードに変更すると、正しくないファイルやラベル付けされていないファイルの両方が問題を引き起こす可能性があります。

SELinux は、この問題を回避するために自動的にファイルにラベルを付け直します。SELinux は、ステータスを enabled に変更したときの自動再ラベル付けにより、ラベル付けの問題を防ぎます。