3.3.1 策略文件的配置

3.3  SELinux策略配置

3.3.1  策略文件的配置

SELinux策略存于目录/etc/selinux/下，策略的二进制文件必须存在，默认时策略源代码文件及其编译工具是不存在的，需要时可从www.tresys.com/selinux网址下载。SELinux策略目录说明如下：

/etc/selinux//policy/ 二进制策略和运行配置文件 
/etc/selinux//src/policy/ 策略源代码 

Linux可以有多个策略，运行时只装载一个策略，策略名<policyname>可以为targeted、strict、webhost和test等。配置文件/etc/selinux/config定义了当前使用的策略，如：SELINUXTYPE=targeted。

SELinux策略是可配置的，在Fedora Core Linux操作系统中配置的SELinux策略是targeted策略。在target策略中，除了指定的后台外，每个主体和客体运行在unconfined_t，除了标准Linux的DAC安全限制外，在unconfined_t域系统上的客体没有任何限制。

与targeted策略相对的是strict策略，strict（严格）策略默认不包含在Linux操作系统中。在strict策略中，每个主体和客体有一个指定的域，所有的类型交互和转移都单独定义在策略规则中，这是非常复杂的环境。

/etc/selinux/config文件控制SELinux是激活还是关闭，如果激活，SELinux的运行模式是许可（permissive）或者强制（enforcing）模式。关闭SELinux将关闭SELinux内核和应用程序代码，系统在没有任何SELinux保护下运行，许可模式表示激活了SELinux代码，但SELinux策略不否决操作，只是把违背策略的操作信息审核记录到log系统中。强制策略则对违背策略的操作进行否决，并记录信息到log系统中。