selinux 文檔系統和 /proc 文檔系統類(lèi)似，都是虛擬的文檔系統。因此有些安裝程式需要您編輯/etc/fstab 文
件。 您能夠用 ls -l /selinux 命令來(lái)顯示。
total 0
-rw-rw-rw- 1 root root 0 Nov 25 11:27 access
-rw-rw-rw- 1 root root 0 Nov 25 11:27 context
-rw-rw-rw- 1 root root 0 Nov 25 11:27 create
-rw------- 1 root root 0 Nov 25 14:19 enforce
-rw------- 1 root root 0 Nov 25 11:27 load
-r--r--r-- 1 root root 0 Nov 25 11:27 policyvers
-rw-rw-rw- 1 root root 0 Nov 25 11:27 relabel
-rw-rw-rw- 1 root root 0 Nov 25 11:27 user
運行 cat 命令查看 "enforce"文檔將會(huì )顯示一個(gè)值，代表 SE Linux 當前的狀態(tài)，1 代表
enforcing 狀態(tài), 0 代表 permissive 狀態(tài)。
新的 SE Linux 使用了文檔系統的擴展屬性（Extended attributes）來(lái)存放安全上下文（security contexts）。您必須讓您的內核支持這種擴展屬性屬性。 擴展屬性是個(gè) 名稱(chēng)?數據 元組 （name-data tuple）-- 舉個(gè)例子說(shuō),security.selinux 就是個(gè)屬性的名稱(chēng)，安全上下文（security context）就是要存的數據。 當 SE Linux 正在運行時(shí)，您能夠用 ls --context filename 命令來(lái)查看一個(gè)文檔的安全上下文(我們將在后面進(jìn)一步解釋這個(gè)命令),無(wú)論 SELinux 是否打開(kāi)，您都能夠用 getfattr 命令查看文檔系統的擴展屬性。但是您要先裝支持 attr 的軟件包并且通過(guò) getfattr 命令的 manpage 學(xué)會(huì )使用他。這個(gè)命令的運行方法是：
Getting Started with SE Linux HOWTO：the new SE Linux
faye@kaos:~$ getfattr -m . -d /etc/passwd
getfattr: Removing leading ’/’ from absolute path names
# file: etc/passwd
security.selinux="system_u:object_r:etc_t＼000"
您所查看的文檔的 security.selinux 屬性中儲存了此文檔的安全上下文, 所以上面例子中的上下文就是 system_u:object_r:etc_t 。任何運行了 SE Linux 的 ext2/3 文檔系統上都有security.selinux 這個(gè)屬性(這個(gè)新特性的關(guān)鍵). 假如您引導了一個(gè)沒(méi)有 SE Linux 的內核,您將仍然看到這個(gè)擴展屬性. 當您用 make relabel 操作配置了文檔的安全上下文期間，擴展
屬性就被 setfiles 配置了。從 init 加載 SE Linux 策略打開(kāi)了 SE Linux 的系統在引導時(shí)，init 進(jìn)程既要掛載 /selinux 文檔系統,并
在那之后載入 SE Linux 的策略。安全ID（SIDs） 和 父進(jìn)程安全ID（PSIDs） 不再使用SIDs (安全ID) 在舊的 SE Linux 是用戶(hù)進(jìn)程的內核接口. PSIDs (父進(jìn)程安全ID SIDs) 是內核映射（配置）磁盤(pán)上的文檔的上下文的根據。請看NSA的 Configuring the SELinux Policy 獲得更多的幫
助。 在新的SE Linux中, 擴展屬性記錄了安全上下文，所以SIDs和PSIDs 也就不必要了。
-Z 參數-Z 能夠替代 --context 命令參數，比如 ls -Z 和 ps -Z.
用 chcon 命令替代了 chsid 命令chsid 命令在舊的 SE Linux 中用來(lái)配置文檔的安全上下文。新的 SE Linux 中用 chcon 命令來(lái)配置。 chcon 在舊的 SE Linux 中已能夠使用，但是在新的SE Linux 中的配置用戶(hù)或類(lèi)型方面得到了進(jìn)一步改善。能夠查看 manpage 獲得更多的提示。
1.4. Fedora 用戶(hù)的策略（Policy）源
代碼目錄介紹
在 Debian 中, 策略的源代碼目錄是/etc/selinux. 在 Fedora 中是/etc/security/selinux/src/policy。
在這份文檔中我市參照 Debian 的源代碼目錄做的操作, 假如您是 Fedora 用戶(hù), 請用/etc/security/selinux/src/policy 替換。
為什么使用 SE Linux?
SE Linux 能夠為您的系統提供較棒的安全防護。使用者能被分配預先定義好的角色，以便他們不能存取文檔或訪(fǎng)問(wèn)他們不擁有的程式。這可不是簡(jiǎn)單的 " chmod 777" 同等物操作。這在角色, 或他所在的安全上下文已限制接觸的文檔和其他的資源的使用者定義中是不同于一般的 Unix 許可權限的，除了在一種比較受約束的流行之外。帶一個(gè)用戶(hù)的.rhosts 文檔在一個(gè)一般的 Unix 系統上申請。假如他們使他成為任何人可寫(xiě)入 , 那么任何能登錄的人都能夠作危險的操作。 在 SE Linux 之下，您能控制其他用戶(hù)是否有能力改變他們.rhosts文檔, 連同阻止其他的人寫(xiě)入 , 就算擁有者已使他成為任何人可寫(xiě)
入。
一個(gè)通常的疑問(wèn)是 SE Linux 的權限配置怎樣和標準的 Unix 的權限配置共存。
當您做特定的操作的時(shí)候， Unix 權限首先被檢查。 假如他們允許您的操作 ,
那么然后， SE Linux 將會(huì )檢查并且允許或拒絕使用者的使用。 但是假如 Unix
許可不讓您做某事,在那里的運行的操作被禁止和 SE Linux 檢查沒(méi)關(guān)系。
另外的一個(gè)例子是，假如有一個(gè)配置了 SUID 的可執行文檔，如/usr/bin/passwd他能夠運行命令 chmod 666 /etc/shadow，SE Linux 會(huì )阻止任何人非法的這樣配置文檔。
轉載