Метка безопасности SELinux

Метка безопасности SELinux — набор атрибутов контекста безопасности, связанный с объектом ядра, файлом, каталогом, процессом, сокетом или другим ресурсом. При проверке доступа SELinux сопоставляет метки субъекта и объекта с правилами политики, дополняя обычные права DAC. Типичный контекст содержит поля user, role, type и level. В наиболее распространённых конфигурациях ключевым для контроля доступа является type; поле level используется механизмами MLS и MCS, а без них обычно имеет базовое значение s0. Метки файлов обычно хранятся в расширенных атрибутах файловой системы и могут назначаться правилами сопоставления путей. Метки применяют для изоляции служб, ограничения доступа веб-сервера к данным, разделения доменов процессов и контроля последствий компрометации. После переноса данных, восстановления из архива или ручного изменения контекст может потребовать проверки и восстановления. Метка не является правилом доступа и сама по себе не выдаёт разрешений: правила содержатся в политике SELinux. Она также отличается от прав владельца, группы и режима POSIX, которые проверяются механизмом DAC отдельно.