SELinux可解决Linux权限配置复杂与安全策略难管控问题，其通过强制访问控制提升系统安全性；本文介绍SELinux基本概念、状态查看（sestatus）、三种模式（enforcing/permissive/disabled）及切换方法；详解安全上下文查看（ls -Z、ps -eZ）与修改方式，包括临时更改（chcon）和永久配置（semanage fcontext + restorecon），确保应用程序合法访问资源。
如果您在使用Linux系统时遇到权限配置复杂或安全策略难以管控的问题，可能是由于SELinux未正确配置所致。SELinux作为Linux内核中的强制访问控制系统，能够通过细粒度的权限控制提升系统安全性。
本文运行环境：Dell PowerEdge服务器，Ubuntu 22.04。
一、SELinux的基本概念与作用
SELinux（Security-Enhanced Linux）是由美国国家安全局（NSA）开发的一套强制访问控制（MAC）机制，它扩展了传统Linux自主访问控制（DAC）模型的安全能力。在默认的DAC模型中，文件和进程的访问权限由用户和组决定，而SELinux引入了基于策略的安全上下文，使得每个进程和文件都有明确的角色、类型和多级安全属性。
通过安全上下文标签，SELinux可以限制即使root用户也无法随意访问某些受保护资源，从而防止恶意程序提权或系统误操作带来的风险。
二、查看SELinux当前状态
了解系统中SELinux的运行状态是进行配置的前提。可以通过命令行工具快速获取其模式信息，以便判断是否启用以及处于何种策略模式下。
1、打开终端并输入以下命令查询SELinux状态：sestatus
2、观察输出结果中的“Current mode”字段，确认当前为enforcing、permissive还是disabled状态。
3、若命令未找到，需先安装selinux-utils软件包：apt install selinux-utils
三、SELinux的工作模式说明与切换
SELinux支持三种主要运行模式：enforcing表示强制执行策略；permissive表示仅记录违规行为但不阻止；disabled则完全关闭SELinux功能。根据实际需求可在不同模式间临时或永久切换。
1、将SELinux临时设置为宽容模式（重启后失效）：sudo setenforce 0
2、临时恢复为强制模式：sudo setenforce 1
3、若要永久更改模式，需编辑配置文件：/etc/selinux/config
4、修改其中的SELINUX=行，可选值包括enforcing、permissive或disabled。
四、理解SELinux安全上下文
每个文件、目录和进程在SELinux中都拥有一个安全上下文，用于标识其类别、角色和类型。该上下文决定了哪些操作被允许或拒绝。
1、查看文件或目录的安全上下文，使用命令：ls -Z /path/to/file
2、查看正在运行的进程的安全上下文：ps -eZ | grep process_name
3、安全上下文通常格式为：user:role:type:level，其中type字段最为关键。
五、修改文件的安全上下文
当应用程序无法访问特定文件时，可能是因为其SELinux类型不匹配。此时可通过调整文件的安全上下文类型来解决问题。
1、使用chcon命令临时更改文件类型，例如使文件可被Web服务器访问：sudo chcon -t httpd_sys_content_t /var/www/html/index.html
2、若需持久化变更，应使用semanage命令管理文件上下文规则。
3、先确认是否已安装policycoreutils-python-utils包：apt install policycoreutils-python-utils
4、添加永久性上下文规则：sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
5、应用规则到实际文件系统：sudo restorecon -R /var/www/html
