Linux/SELinux/04/05 Systemstart

Ändern der SELinux-Modi beim Systemstart

Beim Systemstart können Sie mehrere Kernel-Parameter setzen, um die Funktionsweise von SELinux zu ändern

enforcing=0

Durch das Setzen dieses Parameters startet das System im permissiven Modus, was bei der Fehlerbehebung nützlich ist

• Die Verwendung des permissiven Modus ist möglicherweise die einzige Möglichkeit, ein Problem zu erkennen, wenn Ihr Dateisystem zu stark beschädigt ist
• Außerdem erstellt das System im permissiven Modus weiterhin die Labels korrekt
• Die in diesem Modus erzeugten AVC-Meldungen können sich von denen im Enforcing-Modus unterscheiden

Im Permissive-Modus wird nur die erste Verweigerung aus einer Reihe gleicher Verweigerungen gemeldet

• Im Enforcing-Modus hingegen erhalten Sie möglicherweise eine Verweigerung beim Lesen eines Verzeichnisses, woraufhin eine Anwendung stoppt
• Im permissiven Modus erhalten Sie dieselbe AVC-Meldung, aber die Anwendung liest weiterhin Dateien in dem Verzeichnis, und Sie erhalten zusätzlich für jede Verweigerung eine AVC

selinux=0

Dieser Parameter bewirkt, dass der Kernel keinen Teil der SELinux-Infrastruktur lädt

• Die Init-Skripte erkennen, dass das System mit dem Parameter selinux=0 gebootet wurde, und schreiben in die Datei /.autorelabel
• Dies bewirkt, dass das System beim nächsten Start mit aktiviertem SELinux automatisch eine Neukennzeichnung durchführt

Wichtig

Red Hat empfiehlt die Verwendung des Parameters selinux=0 nicht

• Verwenden Sie zum Debuggen Ihres Systems vorzugsweise den permissiven Modus

autorelabel=1

Dieser Parameter zwingt das System zu einer Neukennzeichnung, ähnlich wie die folgenden Befehle

sudo touch /.autorelabel
sudo reboot

Wenn die Systemkennzeichnung eine große Anzahl von Fehlern enthält, müssen Sie möglicherweise im permissiven Modus booten, damit die automatische Neukennzeichnung erfolgreich ist

Weitere SELinux-bezogene Kernel-Boot-Parameter, wie beispielsweise checkreqprot, finden Sie in der Datei [[/ usr/share/doc/kernel-doc-‚‘<KERNEL_VER>‚‘/Documentation/kernel-parameters.txt]]-Datei

• Diese Dokumentation wird mit dem Paket kernel-doc installiert
• Ersetzen Sie die Zeichenfolge ‚‘<KERNEL_VER>‚‘ durch die Versionsnummer des installierten Kernels, zum Beispiel

sudo yum install kernel-doc
less /usr/share/doc/kernel-doc-‚'3.10.0‘' /Documentation/kernel-parameters.txt