SELinux exige remarcação constante

Question

Eu instalei o SELinux no Ubuntu 18.04.1 LTS via

# apt install selinux

Após a reinicialização obrigatória, o SELinux foi constantemente desativado até que eu adicionasse

SELinux = 1 a /etc/default/grub

e executado sudo update-grub

em que o SELinux parece estar funcionando corretamente.

sestatus reporta de volta com

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             default
Current mode:                   permissive
Mode from config file:          permissive
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      31

No entanto, executando

# sudo systemctl status selinux 

rendimentos

Nov 21 14:38:51 ubuntu-selinux systemd[1]: 
Started LSB: Relabel the filesystem before reboot.

mesmo que eu tenha re-etiquetado o sistema de arquivos adicionando touch /.autorelabel e também executando sudo fixfiles relabel e reiniciando o sistema posteriormente.

Informações adicionais que podem ser relevantes

• apparmor foi removido com sucesso
• sistema de arquivos é ext4
• Esta é uma instalação nova, então nada mais foi alterado.

Minha (s) pergunta (s): Por que eu tenho que adicionar o parâmetro do kernel manualmente e por que o SELinux está me solicitando outra etiqueta em cada inicialização?

    

Answer 1

Não instale o pacote selinux , instale selinux-basic .

O pacote selinux é específico do Ubuntu e é muito antigo e não funciona bem com o systemd.

Para ser honesto, eu pensei que já fosse removido do arquivo do Ubuntu por um tempo.

    

Answer 2

Você tinha que adicionar manualmente os parâmetros do kernel, porque o Ubuntu usa o AppArmor por padrão e é meio raro ver o SELinux sendo usado em sistemas Ubuntu. Isso pode realmente ser considerado um bug, e você pode querer considerar abrir um relatório de bug da barra de ativação para o pacote selinux.

Com relação à reclassificação constante: o arquivo /.autorelabel ainda existe após a reinicialização? No CentOS / RHEL, uma das unidades do systemd remove o AFAIK, mas isso pode não acontecer no Ubuntu, eu acho.