Отказ AVC

Отказ AVC — диагностическое событие SELinux, сообщающее, что политика не разрешает конкретное действие процесса над объектом. В записи обычно указаны контексты безопасности субъекта и объекта, класс объекта, запрошенное разрешение и дополнительные сведения о процессе. В режиме Enforcing соответствующее действие блокируется SELinux, а в Permissive аналогичное нарушение обычно только регистрируется. Причиной могут быть неверная метка файла, запуск процесса в неподходящем домене, отсутствующее правило политики или попытка действия, которое должно оставаться запрещённым. AVC denial используют при расследовании недоступности файлов, сокетов, портов и других ресурсов Linux-служб. Для корректной интерпретации сопоставляют запись с журналом службы, режимом SELinux и фактическими контекстами объектов. Отказ AVC не означает автоматически ошибку политики и не является самостоятельным правилом доступа. Он отличается от обычного отказа Unix в доступе: последний может быть вызван DAC-правами или ACL без участия SELinux.