Модуль политики SELinux

Модуль политики SELinux — самостоятельная устанавливаемая единица политики, которая может содержать правила доступа, объявления типов и атрибутов, а также сопоставления файловых контекстов. При установке исходное представление при необходимости компилируется, модуль помещается в хранилище, а система управления SELinux формирует и загружает обновлённую активную политику. Модуль должен предоставлять только минимально необходимые разрешения и учитывать уже определённые интерфейсы и типы базовой политики. Создание широких allow-правил по журналу отказов способно ослабить изоляцию; перед установкой правила проверяют в тестовой среде и сопоставляют с назначением службы. Модули используют для поддержки собственного приложения, нестандартного пути хранения данных или интеграции программного обеспечения, для которого штатная политика не покрывает требуемый сценарий. Они позволяют поставлять локальные изменения отдельно от исходного кода приложения. Модуль отличается от метки безопасности: метка идентифицирует субъект или объект, а модуль задаёт правила их взаимодействия. Он также не равен полному файлу политики: активная политика формируется из базовых компонентов и подключённых модулей.