Linux/SELinux/04/05 Systemstart: Unterschied zwischen den Versionen
K Dirkwagner verschob die Seite Linux/SELinux/DOC/04/05 Systemstart nach Linux/SELinux/04/05 Systemstart: Textersetzung - „Linux/SELinux/DOC/0“ durch „Linux/SELinux/0“ |
K Textersetzung - „SELinux/DOC“ durch „SELinux“ |
||
| Zeile 34: | Zeile 34: | ||
less /usr/share/doc/kernel-doc-‚'3.10.0‘' /Documentation/kernel-parameters.txt | less /usr/share/doc/kernel-doc-‚'3.10.0‘' /Documentation/kernel-parameters.txt | ||
[[Kategorie:Linux/SELinux | [[Kategorie:Linux/SELinux/04]] | ||
Version vom 28. März 2026, 10:04 Uhr
Ändern der SELinux-Modi beim Systemstart
Beim Systemstart können Sie mehrere Kernel-Parameter setzen, um die Funktionsweise von SELinux zu ändern
enforcing=0
Durch das Setzen dieses Parameters startet das System im permissiven Modus, was bei der Fehlerbehebung nützlich ist
- Die Verwendung des permissiven Modus ist möglicherweise die einzige Möglichkeit, ein Problem zu erkennen, wenn Ihr Dateisystem zu stark beschädigt ist
- Außerdem erstellt das System im permissiven Modus weiterhin die Labels korrekt
- Die in diesem Modus erzeugten AVC-Meldungen können sich von denen im Enforcing-Modus unterscheiden
Im Permissive-Modus wird nur die erste Verweigerung aus einer Reihe gleicher Verweigerungen gemeldet
- Im Enforcing-Modus hingegen erhalten Sie möglicherweise eine Verweigerung beim Lesen eines Verzeichnisses, woraufhin eine Anwendung stoppt
- Im permissiven Modus erhalten Sie dieselbe AVC-Meldung, aber die Anwendung liest weiterhin Dateien in dem Verzeichnis, und Sie erhalten zusätzlich für jede Verweigerung eine AVC
selinux=0
Dieser Parameter bewirkt, dass der Kernel keinen Teil der SELinux-Infrastruktur lädt
- Die Init-Skripte erkennen, dass das System mit dem Parameter selinux=0 gebootet wurde, und schreiben in die Datei /.autorelabel
- Dies bewirkt, dass das System beim nächsten Start mit aktiviertem SELinux automatisch eine Neukennzeichnung durchführt
- Wichtig
- Red Hat empfiehlt die Verwendung des Parameters selinux=0 nicht
- Verwenden Sie zum Debuggen Ihres Systems vorzugsweise den permissiven Modus
autorelabel=1
Dieser Parameter zwingt das System zu einer Neukennzeichnung, ähnlich wie die folgenden Befehle
sudo touch /.autorelabel sudo reboot
Wenn die Systemkennzeichnung eine große Anzahl von Fehlern enthält, müssen Sie möglicherweise im permissiven Modus booten, damit die automatische Neukennzeichnung erfolgreich ist
Weitere SELinux-bezogene Kernel-Boot-Parameter, wie beispielsweise checkreqprot, finden Sie in der Datei [[/ usr/share/doc/kernel-doc-‚‘<KERNEL_VER>‚‘/Documentation/kernel-parameters.txt]]-Datei
- Diese Dokumentation wird mit dem Paket kernel-doc installiert
- Ersetzen Sie die Zeichenfolge ‚‘<KERNEL_VER>‚‘ durch die Versionsnummer des installierten Kernels, zum Beispiel
sudo yum install kernel-doc less /usr/share/doc/kernel-doc-‚'3.10.0‘' /Documentation/kernel-parameters.txt