Роль SELinux

Роль SELinux — элемент ролевого управления доступом в SELinux, задающий, в каких доменах может работать SELinux-пользователь, которому разрешена эта роль. Она входит в SELinux-контекст наряду с пользователем, типом и уровнем безопасности; связанные с ней правила ограничивают допустимые домены и смену ролей. При входе Linux-учётная запись сопоставляется с SELinux-пользователем, которому политика разрешает одну или несколько ролей; PAM может участвовать в установке начального контекста сеанса. При переходе процесса ядро проверяет правила перехода домена, допустимость целевого домена для роли и, если роль меняется, правила смены роли. Unix-права доступа проверяются отдельно от SELinux. Роли используют для разделения полномочий операторов, администраторов и системных служб на Linux-системах с активной политикой SELinux. В типовых targeted-конфигурациях роль может быть менее заметна в повседневном управлении, чем типы и домены, но остаётся компонентом модели политики. Роль SELinux отличается от роли в IAM или RBAC приложения: она действует на уровне ядра и политики SELinux. Она также не равна типу SELinux: тип обычно определяет домен процесса либо метку объекта, а роль определяет допустимые домены для SELinux-пользователя.