AL2023 のデフォルトの SELinux ステータスとモード

AL2023 の場合、SELinux のデフォルトは enabledで、 permissive モードに設定されています。permissive モードでは、アクセス拒否は記録されますが、強制ではありません。

getenforce または sestatus コマンドは、現在の SELinux のステータス、ポリシー、モードを知ることができます。

デフォルトステータスが enabled およびに permissive 設定されていると、getenforce コマンドは permissive を返します。

sestatus コマンドは、次の例に示すように、SELinux ステータスと現在の SELinux ポリシーを返します。

$ sestatus
SELinux status:                 enabled
  SELinuxfs mount:                /sys/fs/selinux
  SELinux root directory:         /etc/selinux
  Loaded policy name:             targeted
  Current mode:                   permissive
  Mode from config file:          permissive
  Policy MLS status:              enabled
  Policy deny_unknown status:     allowed
  Memory protection checking:     actual (secure)
  Max kernel policy version:      33

SELinux を permissive モードで実行すると、ユーザーがファイルに誤ったラベルを付ける可能性があります。SELinux を disabled ステータスで実行すると、ファイルにはラベルが付けられません。enforcing モードに変更すると、正しくないファイルやラベル付けされていないファイルの両方が問題を引き起こす可能性があります。

SELinux は、この問題を回避するために自動的にファイルにラベルを付け直します。SELinux は、ステータスを enabled に変更したときの自動再ラベル付けにより、ラベル付けの問題を防ぎます。