Übersicht
sestatus ist ein unverzichtbares Werkzeug zur Diagnose der SELinux-Konfiguration und des aktuellen Systemstatus. Mit diesem Befehl erhalten Sie Einblicke, wie SELinux zur Systemsicherheit beiträgt, und erste Informationen zur Behebung potenzieller Zugriffskontrollprobleme.
Wichtige Informationen zur Überprüfung
Nach Ausführung des sestatus-Befehls können Sie die folgenden Kerninformationen abrufen:
- SELinux-Aktivierungsstatus (enabled/disabled)
- Aktueller SELinux-Modus (enforcing/permissive/disabled)
- Pfad der geladenen Richtliniendateien
- Richtlinientyp und -version
- Ladezeit der Richtlinie
Wichtige Optionen
Der Befehl sestatus bietet relativ wenige Optionen, ist aber nützlich, um detaillierte Informationen abzurufen.
Informationen anzeigen
Erzeugter Befehl:
Kombinieren Sie die Befehle.
Beschreibung:
`sestatus` Führen Sie den Befehl aus.
Kombinieren Sie diese Optionen und führen Sie die Befehle virtuell zusammen mit der KI aus.
Anwendungsbeispiele
Zeigt verschiedene Möglichkeiten, den SELinux-Status mit dem sestatus-Befehl zu überprüfen.
Grundlegende SELinux-Statusprüfung
sestatusZeigt grundlegende Informationen an, einschließlich des aktuellen Aktivierungsstatus und Modus von SELinux.
Detaillierte SELinux-Informationen anzeigen
sestatus -vZeigt alle detaillierten Informationen zu SELinux an, einschließlich des Pfads der Richtliniendateien, des Richtlinientyps und der Ladezeit der Richtlinie.
Installation
Der Befehl sestatus ist auf den meisten Linux-Distributionen, die SELinux verwenden, standardmäßig enthalten. In einigen minimalen Installationsumgebungen kann jedoch die Installation zusätzlicher Pakete erforderlich sein. Er ist in der Regel Teil der Pakete `policycoreutils` oder `libselinux-utils`.
Debian/Ubuntu-basierte Systeme
sudo apt update && sudo apt install selinux-utilsInstalliert das Paket `selinux-utils`, das den Befehl `sestatus` auf Debian- oder Ubuntu-basierten Systemen enthält.
RHEL/CentOS/Fedora-basierte Systeme
sudo dnf install policycoreutilsInstalliert das Paket `policycoreutils`, das den Befehl `sestatus` auf RHEL-, CentOS- und Fedora-basierten Systemen enthält.
Tipps & Hinweise
Tipps, die Ihnen helfen, SELinux-Richtlinien zu verstehen und zu verwalten, basierend auf den Informationen, die Sie mit dem sestatus-Befehl erhalten.
Interpretation der Ausgabe
Erklärung der beiden wichtigsten Einträge in der Ausgabe von sestatus.
- SELinux status: `enabled` bedeutet, dass SELinux aktiviert ist, während `disabled` bedeutet, dass es deaktiviert ist. Im `disabled`-Status funktioniert SELinux überhaupt nicht.
- Current mode: `enforcing` erzwingt die SELinux-Richtlinien und blockiert und protokolliert alle Verstöße. `permissive` protokolliert nur Verstöße, blockiert sie aber nicht. `disabled` bedeutet, dass SELinux nicht aktiv ist.
Protokolle überprüfen
Wenn SELinux im `enforcing`-Modus Probleme verursacht, können Sie die Datei `/var/log/audit/audit.log` oder den Befehl `journalctl -t audit` verwenden, um SELinux-bezogene Ablehnungsnachrichten (denials) zu überprüfen und die Ursache des Problems zu ermitteln. Diese Protokolle liefern wichtige Hinweise darauf, welcher Prozess versucht hat, auf welche Ressource zuzugreifen, als ein Richtlinienverstoß aufgetreten ist.