回到 Kernel 2.6 时代，那时候引入了一个新的安全系统，用以提供访问控制安全策略的机制。这个系统就是 Security Enhanced Linux (SELinux)，它是由美国国家安全局（NSA）贡献的，它为 Linux 内核子系统引入了一个健壮的强制控制访问Mandatory Access Control架构。
如果你在之前的 Linux 生涯中都禁用或忽略了 SELinux，这篇文章就是专门为你写的：这是一篇对存在于你的 Linux 桌面或 服务器 之下的 SELinux 系统的介绍，它能够限制权限，甚至消除程序或守护进程的脆弱性而造成破坏的可能性。
在我开始之前，你应该已经了解的是 SELinux 主要是红帽 Red Hat Linux 以及它的衍生发行版上的一个工具。类似地， Ubuntu 和 SUSE（以及它们的衍生发行版）使用的是 appArmor。SELinux 和 AppArmor 有显著的不同。你可以在 SUSE，openSUSE，Ubuntu 等等发行版上安装 SELinux，但这是项难以置信的挑战，除非你十分精通 Linux。
说了这么多，让我来向你介绍 SELinux。
Linux 上传统的访问控制标准是自主访问控制Discretionary Access Control（DAC）。在这种形式下，一个软件或守护进程以 User ID（UID）或 Set owner User ID（SUID）的身份运行，并且拥有该用户的目标（文件、套接字、以及其它进程）权限。这使得恶意代码很容易运行在特定权限之下，从而取得访问关键的子系统的权限。
另一方面，强制访问控制Mandatory Access Control（MAC）基于保密性和完整性强制信息的隔离以限制破坏。该限制单元独立于传统的 Linux 安全机制运作，并且没有超级用户的概念。
SELinux 如何工作
考虑一下 SELinux 的相关概念:
当一个主体Subject（如一个程序）尝试访问一个目标Object（如一个文件），SELinux 安全服务器SELinux Security Server（在内核中）从策略数据库Policy> 模式
SELinux 有三个模式（可以由用户设置）。这些模式将规定 SELinux 在主体请求时如何应对。这些模式是：
图 1：getenforce 命令显示 SELinux 的状态是 Enforcing 启用状态。
默认情况下，大部分系统的 SELinux 设置为 Enforcing。你要如何知道你的系统当前是什么模式？你可以使用一条简单的命令来查看，这条命令就是 getenforce。这个命令用起来难以置信的简单（因为它仅仅用来报告 SELinux 的模式）。要使用这个工具，打开一个终端窗口并执行 getenforce 命令。命令会返回 Enforcing、Permissive，或者 Disabled（见上方图 1）。
设置 SELinux 的模式实际上很简单——取决于你想设置什么模式。记住：永远不推荐关闭 SELinux。为什么？当你这么做了，就会出现这种可能性：你磁盘上的文件可能会被打上错误的权限标签，需要你重新标记权限才能修复。而且你无法修改一个以 Disabled 模式启动的系统的模式。你的最佳模式是 Enforcing 或者 Permissive。
你可以从命令行或 /etc/selinux/config 文件更改 SELinux 的模式。要从命令行设置模式，你可以使用 setenforce 工具。要设置 Enforcing 模式，按下面这么做：
图 2：设置 SELinux 模式为 Enforcing。
要设置模式为 Permissive，这么做：
图 3：设置 SELinux 模式为 Permissive。
注：通过命令行设置模式会覆盖 SELinux 配置文件中的设置。
如果你更愿意在 SELinux 命令文件中设置模式，用你喜欢的编辑器打开那个文件找到这一行：
SELINUX=permissive
你可以按你的偏好设置模式，然后保存文件。
还有第三种方法修改 SELinux 的模式（通过 bootloader），但我不推荐新用户这么做。
策略类型
SELinux 策略有两种：
你可以在 /etc/selinux/config 文件中修改策略类型。用你喜欢的编辑器打开这个文件找到这一行：
SELINUXTYPE=targeted
修改这个选项为 targeted 或 strict 以满足你的需求。
有个方便的 SELinux 工具，你可能想要用它来获取你启用了 SELinux 的系统的详细状态报告。这个命令在终端像这样运行：
sestatus -v
你可以看到像图 4 那样的输出。
图 4：sestatus -v 命令的输出。
仅是皮毛
和你预想的一样，我只介绍了 SELinux 的一点皮毛。SELinux 的确是个复杂的系统，想要更扎实地理解它是如何工作的，以及了解如何让它更好地为你的桌面或服务器工作需要更加地深入学习。我的内容还没有覆盖到疑难解答和创建自定义 SELinux 策略。
SELinux 是所有 Linux 管理员都应该知道的强大工具。现在已经向你介绍了 SELinux，我强烈推荐你回到 Linux.com（当有更多关于此话题的文章发表的时候）或看看NSA SELinux 文档 获得更加深入的指南。
本篇文章到此结束，如果您有相关技术方面疑问可以联系我们技术人员远程解决，感谢大家支持本站！
香港服务器首选树叶云，2H2G首月10元开通。树叶云（shuyeidc.com）提供简单好用，价格厚道的香港/美国云服务器和独立服务器。IDC+ISP+ICP资质。ARIN和APNIC会员。成熟技术团队15年行业经验。
我帮你解释下：1：你调用“cp ~/ ~/ /dd1”这个命令，意思是拷贝当前用户目录下的以及这两个文件到根目录下的dd1文件夹内。 2：“~”符号在Linux里面代表的是用户的目录，我拿自己的系统给你举个例子，比如我当前是root用户，我想回到我的主文件夹，我就可以这么去回到：=====================[root@pact /]# cd ~[root@pact ~]# pwd/root[root@pact ~]# =====================3：pwd意思是打印当前所在的目录。 4：/符号在Linux里面代表的是根目录，比如如下：=====================[root@pact ~]# cd /[root@pact /]# pwd/[root@pact /]# lsbinbootdevetchomeliblost+[root@pact /]# =====================5：所以，你的这个“cp ~/ ~/ /dd1”命令意思自己就懂了吧？意思是拷贝当前用户目录下的以及这两个文件到根目录下的dd1文件夹内。 现在你的系统报错说：/dd1 不是一个目录，那如果你想拷贝，要怎么办呢？那就创建一个/dd1目录就好了，创建目录可以使用“mkdir /dd1”在根目录创建一个dd1的文件夹，这个时候你再去拷贝就可以了。 6：你可以看看鸟哥的linux私房菜这本书，对你学习提高有很大益处的。
发表评论