什么是SELinux
selinux学习理解
selinux学习理解一、什么是selinux。
selinux全称是security enhanced linux，安全强化linux,是MAC （mandatory access control，强制访问控制系统)的一个实现，目的在于明确的知名某个程序可以访问哪些资源（程序，端口）。
它的用户在于防范0—DAY攻击（利用尚未公开的漏洞实现攻击），所以它不是防火墙和ACL的替代品，功能也不重复。
举例来说，系统上Apache被发现存在一个漏洞，使得远程用户可以访问系统上的敏感文件（比如/etc/passwd),且修复该漏洞的补丁尚未发布，此时selinux可以起到弥补漏洞的方法。
因为/etc/passwd 不具有apache的访问标签，所以Apache对于/etc/passwd的访问会被selinux阻止。
相比其他强制访问系统，selinux有如下访问优势：1.控制策略是可以查询，而非程序比可见的。
2.可以热更改策略，无需或停止服务。
3.可以从程序初始化、继承、执行三个方面，使用策略进行控制。
4.控制范围广，包括：文件系统，目录，文件，文件启动描述符，端口，消息接口，网络接口。
二、了解和配置selinux。
1、获取当前selinux运行状态getenforce：可能返回三种结果Enforcing：记录报警且阻止可疑行为。
Permissive：记录告警，不阻止可以行为。
Disable：关闭selinux。
默认是Enforcing2、改变selinux状态。
setenforce 1|0 1代表Enforcing，0代表Permissive。
此时不需要重启系统就可以实现。
要永久改变selinxu的状态，在／etc／sysconfig／selinux实现。
当从disable切换到enforcing或permissive时，要重启系统并为整个文件系统重新创建安全标签。
３、selinux运行策略。
配置文件／etc／sysconfig／seilnux还包含了selinux运行策略的信息，通过改变SELINUXTYPE值实现，该值有两种可能：targeted代表仅针对预制的几种网络服务和访问请求都要使用selinux。
selinux基本工作原理
selinux基本工作原理SELinux（Security-Enhanced Linux）是一个在Linux内核中实现的强制访问控制（MAC）系统。
其基本工作原理是通过在系统中强制执行安全策略，对进程的访问和操作进行更为细致和精确的控制，以增强系统的安全性。
以下是SELinux的基本工作原理：1.策略定义：SELinux的工作始于一个称为"策略"的定义。
策略规定了哪些主体（如进程、用户）有权执行哪些操作（如读、写、执行），以及在哪些对象（如文件、目录）上执行这些操作。
策略是由安全策略管理器生成和维护的。
2.标签：SELinux为系统上的每个对象和主体分配唯一的安全标签。
这些标签包含了有关对象和主体的信息，如它们的角色、类型和安全上下文。
标签的引入使得SELinux能够在更细粒度上进行访问控制。
3.强制访问控制：SELinux通过在系统中实施强制访问控制来执行定义的策略。
传统的Linux访问控制是基于自愿访问控制（DAC），而SELinux引入了强制访问控制（MAC）。
这意味着即使用户具有访问某个资源的权限，如果SELinux规则不允许，则该用户也无法访问。
4.安全上下文：SELinux使用安全上下文来定义对象和主体的标签。
安全上下文包括类型（type）、角色（role）和用户（user）。
这些信息在策略中定义，并通过标签与对象和主体相关联。
5.审计日志：SELinux还提供了审计功能，可用于记录系统上发生的安全事件。
审计日志记录包含有关SELinux决策的信息，以及与安全策略违规相关的详细信息。
总体而言，SELinux通过实施强制访问控制和基于安全标签的访问规则，提供了比传统自愿访问控制更为细致和强大的安全性。
这有助于防范各种攻击和提高系统的整体安全性。
selinux 三权分立机制
SELinux（Security-Enhanced Linux）是一种安全增强的Linux操作系统，它在操作系统内核层面提供了强大的安全机制。
与三权分立机制（Separation of Powers）相比，SELinux和三权分立并不直接相关，因为它们解决的是不同领域的问题。
三权分立机制是指行政、立法和司法三个国家权力机构相互制约和平衡的原则。
这一原则旨在确保国家权力不集中于单一机构，以保护公民的权益，并维护社会的稳定和民主。
三权分立机制通常用于政治和法律领域，是现代民主国家的重要基石。
而SELinux是一种安全性增强的机制，它通过在操作系统内核中实施强制访问控制（MAC）来限制进程的权限，以提供更高的系统安全性。
SELinux确保系统资源只能被授权的实体所访问，并防止恶意软件或攻击者利用漏洞进行未经授权的操作。
它提供了更细粒度的权限控制，可以根据用户角色和对象类型来定义访问规则。
虽然SELinux和三权分立机制不是相同的概念，但它们都旨在维护系统和社会的安全与稳定。
SELinux可以在操作系统层面提供额外的安全保护，而三权分立机制则在政治和法律层面确保权力的平衡和限制。
selinux详解及配置文件
selinux详解及配置⽂件selinux详解selinux 的全称是Security Enhance Linux，就是安全加强的Linux。
在Selinux之前root账号能够任意的访问所有⽂档和服务；如果某个⽂件设为777，那么任何⽤户都可以访问甚⾄删除。
这种⽅式称为DAC（主动访问机制），很不安全。
DAC⾃主访问控制：⽤户根据⾃⼰的⽂件权限来决定对⽂件的操作，也就是依据⽂件的own，group，other/r,w,x 权限进⾏限制。
Root有最⾼权限⽆法限制。
r，w，x权限划分太粗糙。
⽆法针对不同的进程实现限制。
Selinux则是基于MAC（强制访问机制），简单的说，就是程序和访问对象上都有⼀个安全标签（即selinux上下⽂）进⾏区分，只有对应的标签才能允许访问，否则即使权限是777，也是不能访问的。
在selinux中，访问控制属性叫做安全上下⽂，所有客体（⽂件、进程间通讯通道、套接字、⽹络主机等）和主体（进程）都有与其关联的安全上下⽂，⼀个安全上下⽂由三部分组成：⽤户（u）、⾓⾊（r）、和类型（t）标识符。
但我们最关注的是第三部分当程序访问资源时，主体程序必须要通过selinux策略内的规则放⾏后，就可以与⽬标资源进⾏安全上下⽂的⽐对，若⽐对失败则⽆法存取⽬标，若⽐对成功则可以开始存取⽬标，最终能否存取⽬标还要与⽂件系统的rwx权限的设定有关，所以启⽤了selinux后出现权限不符的情况时，你就得⼀步⼀步分析可能出现的问题了。
1.selinux状态查看与配置：selinux的配置⽂件位置：/etc/selinux/config,它还有个链接在/etc/sysconfig/selinux.使⽤config⽂件来配置selinux（通过配置⽂件修改selinux的状态属于永久修改，要重启系统才⽣效）[root@localhost ~]# ls /etc/sysconfig/selinux -llrwxrwxrwx. 1 root root 17 Jan 10 19:48 /etc/sysconfig/selinux -> ../selinux/config（1）配置⽂件[root@make_blog ~]# cat /etc/sysconfig/selinux# This file controls the state of SELinux on the system.# SELINUX= can take one of these three values:# enforcing - SELinux security policy is enforced.# permissive - SELinux prints warnings instead of enforcing.# disabled - No SELinux policy is loaded.SELINUX=disabled# SELINUXTYPE= can take one of three two values:# targeted - Targeted processes are protected,# minimum - Modification of targeted policy. Only selected processes are protected.# mls - Multi Level Security protection.SELINUXTYPE=targetedselinux=enforcing#此项定义selinux状态#enforcing-是强制模式系统，它受selinux保护。
SELinux之一：SELinux基本概念及基本配置旺旺知识库
SELinux之一：SELinux基本概念及基本配置旺旺知识库SELinux从出现至今，已经走过将近13年历史，然而在Linux相关QQ技术群或者Linux相关论坛，经常有人遇到问题问题都归咎与SELinux，如httpd各项配置都正常，但客户就是无法访问；又比如vsftpd配置均正常，但客户端访问提示无法转换家目录。
于是乎很多人都对SELinux有了极大的偏见，认为SELinux带来的似乎只有麻烦，于是很多人选择在安装系统第一件事就是将SELinux设置为禁用。
不过随着日益增长的 0-day 安全漏洞，SELinux在很多时候给了我们关键的保障。
什么是SELinux？SELinux 全称 Security Enhanced Linux (安全强化 Linux),是美国国家安全局2000年以 GNU GPL 发布，是 MAC (Mandatory Access Control，强制访问控制系统)的一个实现，目的在于明确的指明某个进程可以访问哪些资源(文件、网络端口等)。
强制访问控制系统的用途在于增强系统抵御 0-Day 攻击(利用尚未公开的漏洞实现的攻击行为)的能力。
所以它不是网络防火墙或 ACL 的替代品，在用途上也不重复。
在目前的大多数发行版中，已经默认在内核集成了SELinux。
举例来说，系统上的Apache 被发现存在一个漏洞，使得某远程用户可以访问系统上的敏感文件(比如 /etc/passwd 来获得系统已存在用户) ，而修复该安全漏洞的Apache 更新补丁尚未释出。
此时SELinux 可以起到弥补该漏洞的缓和方案。
因为/etc/passwd 不具有Apache 的访问标签，所以Apache 对于/etc/passwd 的访问会被SELinux 阻止。
相比其他强制性访问控制系统，SELinux 有如下优势：•控制策略是可查询而非程序不可见的。
•可以热更改策略而无需重启或者停止服务。
•可以从进程初始化、继承和程序执行三个方面通过策略进行控制。
selinux_enforcing 内核符号
selinux_enforcing 内核符号SELinux（Security-Enhanced Linux）是一种在Linux内核中实现的安全机制，它通过强制访问控制（MAC）来限制进程的权限，从而提供更高的系统安全性。
在SELinux中，内核符号`selinux_enforcing`是一个用于控制SELinux强制模式的标志。
SELinux有三种模式：强制模式（enforcing）、警告模式（permissive）和禁用模式（disabled）。
在强制模式下，SELinux 会严格限制进程的权限，只允许其执行经过授权的操作。
在警告模式下，SELinux会记录并报告违反安全策略的操作，但不会阻止它们。
在禁用模式下，SELinux完全关闭，不对进程进行任何限制。
`selinux_enforcing`是一个内核符号，用于表示当前SELinux 的模式。
它的值为1时表示SELinux处于强制模式，为0时表示SELinux处于警告模式或禁用模式。
内核使用这个符号来判断是否需要对进程进行强制访问控制。
当`selinux_enforcing`为1时，内核会根据SELinux的策略对进程进行访问控制，只允许经过授权的操作。
如果进程尝试执行未经授权的操作，内核会拒绝该操作并记录相关信息。
这种模式下，SELinux提供了更高的系统安全性。
当`selinux_enforcing`为0时，内核不会进行强制访问控制，而是将违反安全策略的操作记录下来。
这种模式下，SELinux仍然可以帮助管理员分析系统安全问题，但不会限制进程的权限，因此可能会降低系统的安全性。
要修改`selinux_enforcing`的值，可以通过修改内核参数或者使用SELinux管理工具来实现。
但需要注意的是，修改这个值可能会对系统的安全性产生重大影响，因此在进行修改之前需要仔细评估系统的安全需求和风险。
总结来说，`selinux_enforcing`是一个用于控制SELinux模式的内核符号。
selinux原理
SELinux 是一种强制访问控制（MAC）系统，是Linux 内核的一部分，它通过将安全上下文标签应用到各种资源（如进程、文件、套接字等）来提供更细粒度的安全策略。
它的主要思想是建立一个强制访问控制策略，即只允许明确允许的操作，而禁止所有其他操作，以保护系统和数据安全。
SELinux 的工作原理可以分为以下几个方面：1. 标记系统：SELinux 会为每个对象（如进程、文件、套接字等）提供一个安全上下文标签，该标签包含对象的身份信息、权限信息和其他策略信息。
2. 策略引擎：SElinux 提供了一个策略引擎，用于根据安全上下文标签规则执行访问控制决策，以确定哪些操作是允许的，哪些是禁止的。
3. 访问控制决策：当某个进程对某个对象进行操作时，SELinux 会根据当前操作的安全上下文标签和对象的安全上下文标签，去策略引擎里查找匹配的规则，如果匹配成功则允许操作，否则拒绝访问。
4. 日志记录：SELinux 会将所有访问控制决策信息记录到系统日志中，以便后期审计和分析。
除了上面提到的，SELinux 还有一些其他的原理和特点：1. 强制访问控制（MAC）：SELinux 强制访问控制是指只有在用户被授权访问某个资源的情况下才允许访问，而普通的权限控制是基于用户自己的限制和许可来控制访问。
2. 安全上下文：SELinux 使用安全上下文标签来标识每个进程和文件的身份信息、权限信息和其他策略信息。
这些标签是由系统管理员和SELinux 策略引擎共同定义的。
3. 多层安全：SELinux 支持多层安全，可以为不同的用户和应用程序分配不同的安全级别，确保系统各部分之间的完全隔离，并使其更加安全可靠。
4. 可定制性：SELinux 的策略引擎是高度可定制的，可以针对不同的应用场景进行设置，以满足不同的安全需求。
SELinux 是一个复杂而且功能强大的安全模块，它能够在Linux 系统中提供强制访问控制和更细粒度的安全保障，适合需要高度安全性保护的系统和应用程序。
操作系统安全：selinux简介
定而定。这样，我们对控制的主体变成了进程而不是使用者，此外，这个主体进程也不能任意使用系
统文件资源，因为每个文件资源也有针对该主体进程设定可取用的权限.
SELinux 也提供一些预设的政策（policy），并在该政策内提供多个（rule）
Selinux简介
SELinux是通过MAC的方式来控管进程，他控制的主体是进程，而目标则该进程能否读取的文件资源。
Selinux的简介
Selinux简介
1 SELinux（security enhanced Linux）安全强化的Linux
SELinux 是由美国国家安全局（NSA）开发，我们知道所有的系统资源都是透过进程 来进行存取的，那么/var/www/html/如果设定为777，代表所有进程均可对该目录进行存 取，为了控制权限与进程之间的问题，SELinux是在进行进程、文件等细部权限设定依据一 个核心模块，由于启动网络服务也是进程，因此也刚好也能控制网路服务能否存存取系统 资源的一道关卡。
Selinux简介
3
以政策规则定制特定进程读取特定文件：委任式访问控制，MAC
为了避免DAC容易发生的问题，因此SELinux导入了委任式访问控制（mandatory access
control）的方法，委任式访问控制控制可以针对特定的进程与特定的文件资源来进行权限的控管， 即
使你是root，那么在使用不同的进程时，你所取得的权限并不一定时root，而得要看当时该进程的设
主体能不能存取目标除了政策指定外，主体与目标的安全性 本文必须一致才能顺利存取，SELinux重点在保护进程读取文件系 统的权限，主体进程必须要通过SELinux政策内的规则放行后，就 可以与目标资源进行安全性本文的对比，若对比失败，则无法存 取文件，若对比成功则可以开始存取目标
SELinux是什么
SELinux是什么SELinux是什么导读：SELinux(Security-Enhanced Linux) 是美国国家安全局(NSA)对于强制访问控制的实现，是Linux® 上最杰出的新安全子系统。
NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。
SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上，也可以作为其他发行版上容易安装的包得到。
概述SELinux 是 2.6 版本的 Linux 内核中提供的强制访问控制 (MAC)系统。
对于目前可用的Linux 安全模块来说，SELinux 是功能最全面，而且测试最充分的，它是在20 年的MAC 研究基础上建立的。
SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念。
大部分使用 SELinux 的.人使用的都是 SELinux 就绪的发行版，例如 Fedora、Red Hat Enterprise Linux (RHEL)、Debian 或 Gentoo。
它们都是在内核中启用SELinux 的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用 SELinux 的功能。
SELinux是一种基于域-类型模型(domain-type)的强制访问控制(MAC)安全系统，它由NSA编写并设计成内核模块包含到内核中，相应的某些安全相关的应用也被打了SELinux的补丁，最后还有一个相应的安全策略。
众所周知，标准的UNIX安全模型是"任意的访问控制"DAC。
就是说，任何程序对其资源享有完全的控制权。
假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下，那么在DAC情况下没人能阻止他!而MAC情况下的安全策略完全控制着对所有资源的访问。
SELinux概述
SELinux使用了分级得强制访问控制,就是Linux内核得重要安全措施。
SELinux得安全策略工具可从下载。
本章分析了SELinux得安全机制,介绍了安全策略配置语言、内核策略库得结构,简述了SELinux内核模块得实现,还分析了用户空间得客体管理器。
3、1 SELinux概述SELinux就是安全增强了得Linux,就是Securityenhanced Linux得简写,SELinux改进了对内核对象与服务得访问控制,改进了对进程初始化、继承与程序执行得访问控制,改进了对文件系统、目录、文件与打开文件描述得访问控制,还改进了对端口、信息与网络接口得访问控制。
早期得Linux内核只提供了经典得UNIX自主访问控制(root用户,用户ID,模式位安全机制),以及部分地支持了POSIX、1e标准草案中得capabilities安全机制,这对于Linux系统得安全性就是不够得,NSA(the National Security Agency)与SCC(Secure puting Corporation)共同开发了强大得基于类型加强(Type Enforcement)得强制访问控制(mandatory access control,简称MAC)机制,提供了动态得安全策略机制。
Linux内核增加了一个通用得安全访问控制框架,它通过hook函数来控制程序得执行,这个框架就就是Linux安全模块(LSM),在LSM上可使用各种安全控制机制(如:Flask机制)来实现对程序得控制。
SELinux应用了类型加强(Type Enforcement,TE)与基于角色访问控制(rolebased access control,RBAC)技术。
TE给每个主体(进程)与系统中得客体定义了一个类型,这些类型定义在SELinux得安全策略文件中,以安全标签形式存放在文件本身得扩展属性(extended attributes,简称xattrs)里。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
SELinux(Security-Enhanced Linux) 是美国国家安全局（NAS）对于强制访问控制的实现，是 Linux? 上最杰出的新安全子系统。
NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。
SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上，也可以作为其他发行版上容易安装的包得到。
SELinux 是 2.6 版本的 Linux 内核中提供的强制访问控制 (MAC)系统。
对于目前可用的Linux 安全模块来说，SELinux 是功能最全面，而且测试最充分的，它是在 20 年的 MAC 研究基础上建立的。
SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念。
大部分使用 SELinux 的人使用的都是 SELinux 就绪的发行版，例如 Fedora、Red Hat Enterprise Linux (RHEL)、Debian 或 Gentoo。
它们都是在内核中启用 SELinux 的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用 SELinux 的功能。
SELinux是一种基于域-类型模型（domain-type）的强制访问控制（MAC）安全系统，它由NSA编写并设计成内核模块包含到内核中，相应的某些安全相关的应用也被打了SELinux 的补丁，最后还有一个相应的安全策略。
众所周知，标准的UNIX安全模型是"任意的访问控制"DAC。
就是说，任何程序对其资源享有完全的控制权。
假设某个程序打算把含有潜在重要信息的文件仍到/tmp目录下，那么在DAC 情况下没人能阻止他！而MAC情况下的安全策略完全控制着对所有资源的访问。
这是MAC和DAC本质的区别。
SELinux提供了比传统的UNIX权限更好的访问控制。
1.背景SELinux是「Security-Enhanced Linux」的简称，是美国国家安全局「NSA＝The National Security Agency」和SCC（Secure Computing Corporation）开发的 Linux的一个扩张强制访问控制安全模块。
原先是在Fluke上开发的，2000年以 GNU GPL 发布。
现在以Linux作为因特网服务器是越来越普遍的事了。
在我这几年作过的项目里，WEB的开发基本都是基于Linux的，这里有给大公司做的，也给政府部门做的，当然更多的是中小企业做的。
这其中给政府做的，我们把SELinux作为一个卖点，接受了不少项目。
2.我们需要安全操作系统的理由现在不论是政府还是民间企业，大家对信息安全问题是越来越关心了，因为企业的业务平台的服务器上存储着大量的商务机密，个人资料，个人资料它直接关系到个人的隐私问题。
特别是我们政府的网站，作为信息公开的平台，它的安全就更显得重要了。
这些连到互联网的服务器，不可避免的要受到来自世界各地的各种威胁。
最坏的时候我们的服务器被入侵，主页文件被替换，机密文件被盗走。
除了来自外部的威胁外，内部人员的不法访问，攻击也是不可忽视的。
对于这些攻击或者说是威胁，当然有很多的办法，有防火墙，入侵检测系统，打补丁等等。
因为Linux也和其他的商用UNIX一样，不断有各类的安全漏洞被发现。
我们对付这些漏洞不得不花很多的人力来堵住它。
在这些手段之中，提高OS系统自身的牢固性就显得非常的重要。
2.1传统的Linux OS的不足之处虽然Linux 比起 Windows 来说，它的可靠性，稳定定要好得多，但是他也是和其他的UNIX 一样，有以下这些不足之处。
１)存在特权用户root任何人只要得到root的权限，对于整个系统都可以为所欲为。
这一点Windows也一样。
２)对于文件的访问权的划分不够细在linux系统里，对于文件的操作，只有「所有者」,「所有组」,「其他」这３类的划分。
对于「其他」这一类里的用户再细细的划分的话就没有办法了。
３)SUID程序的权限升级如果设置了SUID权限的程序有了漏洞的话，很容易被攻击者所利用。
４)ＤＡＣ(Discretionary Access Control)问题文件目录的所有者可以对文件进行所有的操作，这给系统整体的管理带来不便。
对于以上这些的不足，防火墙，入侵检测系统都是无能为力的。
在这种背景下，对于访问权限大幅强化的OS SELinux来说，它的魅力的无穷的。
2.2 SELinux的优点SELinux系统比起通常的Linux系统来，安全性能要高的多，它通过对于用户，进程权限的最小化，即使受到攻击，进程或者用户权限被夺去，也不会对整个系统造成重大影响。
接下来我来介绍SELinux的一些特点。
特点1：MAC(Mand atory Access Control)―――对访问的控制彻底化对于所有的文件，目录，端口这类的资源的访问，都可以是基于策略设定的，这些策略是由管理员定制的、一般用户是没有权限更改的。
特点2： TE （Type Enforcement）――― 对于进程只付与最小的权限Te概念在 SELinux里非常的重要。
它的特点是对所有的文件都赋予一个叫type的文件类型标签，对于所有的进程也赋予各自的一个叫 domain的标签。
Domain标签能够执行的操作也是由access vector在策略里定好的。
我们熟悉的apache服务器，httpd进程只能在httpd_t 里运行，这个httpd_t 的domain 能执行的操作，比如能读网页内容文件赋予httpd_sys_content_t, 密码文件赋予shadow_t, TCP的80端口赋予 http_port_t等等。
如果在access vector里我们不允许 http_t来对http_port_t进行操作的花，Apache启动都启动不了。
反过来说，我们只允许80端口，只允许读取被标为 httpd_sys_content_t的文件，httpd_t就不能用别的端口，也不能更改那些被标为httpd_sys_content_t的文件（read only)。
特点3：ｄｏｍａｉｎ迁移―― 防止权限升级在用户环境里运行点对点下载软件azureus，你当前的domain是fu_t, 但是，你考虑到安全问题，你打算让他在azureus_t里运行，你要是在terminal里用命令启动azureus的话，它的进程的domain就会默认继承你实行的shell的fu_t。
有了ｄｏｍａｉｎ迁移的话，我们就可以让azureus在我们指定的azureus_t里运行，在安全上面，这种做法更可取，它不会影响到你的fu_t。
下面是domain迁移指示的例子：domain_auto_trans(fu_t, azureus_exec_t, azureus_t)意思就是，当在 fu_t domain里，实行了被标为 azureus_exec_t的文件时，domain 从fu_t迁移到 azureus_t 。
下面是Apache启动的迁移图。
注意了，因为从哪一个domain能迁移到httpd_t是在策略里定好了，所以要是我们手动 (/etc/init.d/httpd start)启动apache的话，可能仍然留在sysadm_t里，这样就不能完成正确的迁移。
要用run_init命令来手动启动。
特点4： RBAC（role base access control) ――――― 对于用户只付与最小的权限对于用户来说，被划分成一些ROLE，即使是ROOT用户，你要是不在sysadm_r里，也还是不能实行sysadm_t管理操作的。
因为，那些ROLE可以执行那些domain也是在策略里设定的。
ROLE也是可以迁移的，但是也只能安策略规定的迁移。
3. 控制切换从fedora core 2开始， 2.6内核的版本都支持selinux.我们看看 Fedora core 5 里的/etc/sysconfig/selinux标准设定吧。
# This file controls the state of SELinux on the system.# SELINUX= can take one of these three values:# enforcing - SELinux security policy is enforced.# permissive - SELinux prints warnings instead of enforcing.# disabled - SELinux is fully disabled.SELINUX=enforcing#SELINUX=disabled# SELINUXTYPE= type of policy in use. Possible values are:# targeted - Only targeted network daemons are protected.# strict - Full SELinux protection.SELINUXTYPE=targetedSELINUX有「disabled」「permissive」，「enforcing」3种选择。
Disabled就不用说了，permissive就是Selinux有效，但是即使你违反了策略的话它让你继续操作，但是把你的违反的内容记录下来。
在我们开发策略的时候非常的有用。
相当于Debug模式。
Enforcing就是你违反了策略，你就无法继续操作下去。
SELINUXTYPE呢，现在主要有2大类，一类就是红帽子开发的targeted，它只是对于，主要的网络服务进行保护，比如 apache ,sendmail, bind,postgresql等，不属于那些domain 的就都让他们在unconfined_t里，可导入性高，可用性好但是不能对整体进行保护。
另一类是Strict，是NAS开发的，能对整个系统进行保护，但是设定复杂，我认为虽然它复杂，但是一些基本的会了，还是可以玩得动的。
我们除了在/etc/sysconfig/selinux设它有效无效外，在启动的时候，也可以通过传递参数selinux给内核来控制它。
(Fedora 5默认是有效）kernel /boot/vmlinuz-2.6.15-1.2054_FC5 ro root=LABEL=/ rhgb quiet selinux=0上面的变更可以让它无效。
[root@python sysconfig]# /usr/sbin/getenforceEnforcing确认有效后重新对文件系统赋予标签：[root@python sysconfig]# /sbin/fixfiles relabel或者[root@python /]# touch /.autorelabel然后 reboot ,你就在secure的Linux环境下工作了。