====== SELINUX ======

Файл конфигурации: ''/etc/selinux/config''

Каталог для собственных модулей ''/opt/selinux/mypolicy/''

У SELinux есть три режима:

  * **Enforcing** — запрет доступа на основании правил политики.
  * **Permissive** — ведение лога действий, нарушающих политику, которые в режиме enforcing были бы запрещены.
  * **Disabled** — полное отключение SELinux.

===== Изменение режимов SELinux =====

Чтобы узнать текущий режим запустите

<code>
getenforce
</code>

Для изменения режима на permissive запустите следующую команду

<code>
setenforce 0
</code>

или, для изменения режима с permissive на enforcing, выполните

<code>
setenforce 1
</code>


===== Дополнительные утилиты =====

  * **audit2allow** - создаёт правила политики SELinux allow/dontaudit из журналов отклонённых операций
  * **audit2why** - преобразовывает сообщения аудита SELinux в описание причины отказа в доступе (audit2allow -w)
  * **semodule** - управление модулями политики SELinux


==== Просмотр настроек ====

<code>
getsebool -a
</code>

или с кратким описанием

<code>
semanage boolean -l
</code>


==== Модули правил ====

Список

<code>
semodule -l
</code>

Удалить модуль

<code>
semodule -r MODULE_NAME
</code>

===== Примеры своих правил =====

Команда **awk** не может получить доступ к файлу **vm_hostnames.txt**

Временно отключаем блокировки

<code>
setenforce 0
</code>

Выполняем скрипт через Zabbix [Выполнить сейчас] \\
Чтоб информация попала в лог ''/var/log/audit/audit.log'' \\
Можно снова включить selinux

<code>
setenforce 1
</code>

Создаем модуль правил из логов \\
Чем точнее фильтр **grep**, тем точнее модуль \\
Имя модуля любое, например ''awk_zabbix''

<code>
grep "awk" /var/log/audit/audit.log | audit2allow -M awk_zabbix
</code>

Добавляем модуль, сразу начинает действовать

<code>
semodule -i awk_zabbix.pp
</code>


===== Источники =====

  * [[https://habr.com/ru/companies/otus/articles/460387/|Руководство для начинающих по SELinux]]
  * [[https://www.dmosk.ru/miniinstruktions.php?mini=selinux-example|Примеры настройки SELinux]]
  * [[https://max-ko.ru/14-upravlenie-selinux.html|Управление SELinux]]