小兔网

对于 SELinux 来说，所选择的策略类型直接决定了使用哪种策略规则来执行主体（进程）可以访问的目标（文件或目录资源）。不仅如此，策略类型还决定需要哪些特定的安全上下文属性。通过策略类型，读者可以更精确地了解 SELinux 所实现的访问控制。

auditd 会把 SELinux 的信息都记录在 /var/log/auditd/auditd.log 中。这个文件中记录的信息会非常多，如果手工查看，则效率将非常低下。比如笔者的 Linux 中这个日志的大小就有 386KB。

当查看特定安全上下文的策略规则时，SELinux 会使用被称为 AVC（Access Vector Cache，访问矢量缓存）的缓存，如果访问被拒绝（也被称为 AVC 拒绝），则会在一个日志文件中记录下拒绝消息。

前面讲到，restorecon 命令可以将文件或目录恢复成默认的安全上下文，这就说明每个文件和目录都有自己的默认安全上下文，事实也是如此，为了管理的便捷，系统给所有的系统默认文件和目录都定义了默认的安全上下文。

安全上下文的修改是我们必须掌握的，其实也并不难，主要是通过两个命令来实现的。

SELinux 管理过程中，进程是否可以正确地访问文件资源，取决于它们的安全上下文。进程和文件都有自己的安全上下文，SELinux 会为进程和文件添加安全信息标签，比如 SELinux 用户、角色、类型、类别等，当运行 SELinux 后，所有这些信息都将作为访问控制的依据。

除了通过配置文件可以对 SELinux 进行工作模式的修改之外，还可以使用命令查看和修改 SELinux 工作模式。

我们知道，SELinux 是预先配置的，可以在不进行任何手动配置的情况下使用 SELinux 功能。然而，一般来说，预先配置的 SELinux 设置很难满足所有的 Linux 系统安全需求。

通过对 SELinux 的介绍，初学者可以这样认为，在传统 Linux 系统使用访问控制方式的基础上，附加使用 SELinux 可增强系统安全。 那么，SELinux 是如何运行的呢？

我们知道，传统的 Linux 系统安全，采用的是 DAC（自主访问控制方式），而 SELinux 是部署在 Linux 系统中的安全增强功能模块，它通过对进程和文件资源采用 MAC（强制访问控制方式）为 Linux 系统提供了改进的安全性。