IT 运维工程师面试题, 解释什么是 SELinux,并描述其在 Linux 系统中的作用.

强制访问控制（MAC）是由系统策略强制执行的访问控制机制，用户和进程不能自行更改这些策略。而自愿访问控制（DAC）则是用户可以自己设置文件和资源的访问权限。SELinux 使用 MAC 来提供更高的安全性。

可以查看 /var/log/audit/audit.log 或使用 ausearch 和 audit2why 工具来分析 SELinux 的访问拒绝日志。这些工具可以帮助识别和解释为什么某些操作被 SELinux 拒绝。

在宽容模式下，SELinux 不会实际阻止任何操作，但会记录所有违反策略的行为。这对于调试和策略开发非常有用，因为它允许管理员查看哪些操作会被阻止，而不影响系统的正常运行。

可以使用 SELinux 工具如 audit2allow 来生成允许规则，然后通过编写和编译自定义策略模块（.te 文件）来创建自定义应用程序的 SELinux 策略。

AppArmor 是另一种 Linux 安全模块，它使用基于文件路径的访问控制，而 SELinux 使用基于标签的访问控制。AppArmor 配置相对简单，但 SELinux 提供了更细粒度和强大的安全控制。

AppArmor 和 SELinux 都是 Linux 内核中的强制访问控制机制（MAC）。它们的目标相似，但实现方式不同。SELinux 使用标签（label）和上下文（context）来管理权限，而 AppArmor 则使用路径（path）来定义权限。SELinux 更加复杂和强大，但也因此配置较为复杂；AppArmor 更容易配置和理解，但功能上可能不如 SELinux 细致。

为某个进程创建自定义的 SELinux 策略可以通过以下步骤：首先，记录下进程的行为（通常使用 audit2allow 工具）；其次，编写和编译自定义策略模块（使用 semodule 命令）；最后，加载并应用这个策略模块到系统中。这个过程需要一定的 SELinux 和策略编写经验。

SELinux 中的布尔值允许管理员临时改变 SELinux 策略的某些方面，而无需完全重写或重新编译策略。可以使用 getsebool 命令查看当前的布尔值，使用 setsebool 命令来设置布尔值。例如，setsebool httpd_can_network_connect on 可以允许 Apache HTTPD 进程访问网络。

SELinux 主要有三种类型的策略：目标（targeted）策略、严格（strict）策略和 MLS（Multi-Level Security）策略。目标策略主要保护特定的进程，严格策略保护所有进程，而 MLS 策略则用于更高级别的安全场景，实施多级安全性。