SELinux とは？

SELinuxはプロセスごとに「何のファイルにアクセスできるか」を厳密に制御するんだ。だから正しく設定しないとアプリが動かなくなることがある。でも「とりあえず無効」は最悪の対処法だよ。

通常のパーミッション（DAC）はユーザーベースの制御だけど、SELinux（MAC）はプロセスベースの制御なんだ。たとえばWebサーバーが乗っ取られても、SELinuxのポリシーでWebサーバーがアクセスできるファイルが限定されていれば、被害をそのプロセスの範囲に封じ込められるよ。

ポリシー違反を検出してログに記録するけど、実際にはブロックしないモードだよ。新しいアプリを導入するときに、まずPermissiveで動かしてどんなアクセスが必要か調査し、ポリシーを調整してからEnforcingに切り替えるのが正しい手順なんだ。

/var/log/audit/audit.log にSELinuxの拒否ログが記録されるから、ausearchやsealertコマンドで分析するよ。audit2allowを使えば、拒否されたアクセスを許可するポリシーモジュールを自動生成できる。確かにSELinuxは学習コストが高いけど、PCI DSSなどのセキュリティ基準ではMACが求められるし、本当にサーバーを守りたいなら避けて通れない技術だよ。