SELinuxを無効化・確認する方法｜enforcing/permissive/disabled切替とgetenforce・sestatus

この記事のポイント

・getenforce でモードを確認、sestatus で詳細状態を確認する（-v・-bオプションも解説）
・一時的な切替は setenforce 0/1（または Permissive/Enforcing の文字列指定も可）。再起動で元に戻る
・恒久的な無効化は /etc/selinux/config を SELINUX=disabled に変更して再起動
・本番サーバーでは Permissive で動作確認してから判断するのが鉄則

# getenforce
Enforcing

#!/bin/bash
# SELinuxの状態をチェックして処理を分岐する例
SEL_MODE=$(getenforce)

if [ "$SEL_MODE" = "Enforcing" ]; then
    echo "SELinuxはEnforcingモードです。ポリシー違反に注意してください。"
elif [ "$SEL_MODE" = "Permissive" ]; then
    echo "SELinuxはPermissiveモードです（ログのみ記録）。"
elif [ "$SEL_MODE" = "Disabled" ]; then
    echo "SELinuxは無効化されています。"
fi

# sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Max kernel policy version:      33

# sestatus -v
SELinux status:                 enabled
（中略）
Process contexts:
Current context:                unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
Init context:                   system_u:system_r:init_t:s0
/usr/sbin/sshd                  system_u:system_r:sshd_t:s0-s0:c0.c1023

File contexts:
/etc/passwd                     system_u:object_r:passwd_file_t:s0
/etc/shadow                     system_u:object_r:shadow_t:s0
/bin/bash                       system_u:object_r:shell_exec_t:s0

# sestatus -b | grep httpd
httpd_can_network_connect                   off
httpd_can_network_connect_db                off
httpd_execmem                               off
httpd_read_user_content                     off

# setenforce 0
# getenforce
Permissive

# 数値の代わりに文字列でも指定できる
# setenforce Permissive

# setenforce 1
# getenforce
Enforcing

# 文字列での指定も可能
# setenforce Enforcing

# vi /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

# 変更前
SELINUX=enforcing

# 変更後
SELINUX=disabled

# sedコマンドで変更する（変更前確認→変更→変更後確認を一括で）
grep "^SELINUX=" /etc/selinux/config
sed -i "s/^SELINUX=.*/SELINUX=disabled/" /etc/selinux/config
grep "^SELINUX=" /etc/selinux/config

# shutdown -r now

# getenforce
Disabled
# sestatus
SELinux status:                 disabled

# sedコマンドで変更する
sed -i "s/^SELINUX=.*/SELINUX=permissive/" /etc/selinux/config
grep "^SELINUX=" /etc/selinux/config

# /etc/selinux/config の設定（viで直接変更した場合）
SELINUX=permissive

# 再起動後に確認
# sestatus
SELinux status:                 enabled
Current mode:                   permissive
Mode from config file:          permissive

# setenforce 0
# systemctl start httpd

# ausearchコマンドで直近の拒否ログを確認する（推奨）
ausearch -m avc -ts recent

# または audit.logから直接確認する
grep "denied" /var/log/audit/audit.log | tail -20

type=AVC msg=audit(1711234567.890:1234): avc:  denied  { read } for  pid=12345 comm="httpd" name="index.php" dev="sda1" ino=78901 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=file permissive=1

# ファイルのSELinuxコンテキストを確認する
ls -Z /var/www/html/app.conf

# httpdが読めるコンテキストに変更する（一時的）
chcon -t httpd_config_t /var/www/html/app.conf

# または恒久的にデフォルトコンテキストを設定（推奨）
semanage fcontext -a -t httpd_config_t "/var/www/html/app.conf"
restorecon -v /var/www/html/app.conf

# grep "denied" /var/log/audit/audit.log | audit2why
type=AVC msg=audit(1711234567.890:1234): avc:  denied  { read } for  pid=12345 comm="httpd"
        Was caused by:
                Missing type enforcement (TE) allow rule.
                You can use audit2allow to generate a loadable module to allow this access.

# 拒否ログから必要なポリシーを確認する
grep "denied" /var/log/audit/audit.log | audit2allow

# ポリシーモジュールとして作成・適用する（root権限が必要）
ausearch -m avc -ts recent | audit2allow -M mypolicy
semodule -i mypolicy.pp

# DisabledからEnforcingに戻す正しい手順
# 1. 設定ファイルをEnforcingに変更する
sed -i "s/^SELINUX=.*/SELINUX=enforcing/" /etc/selinux/config

# 2. ファイルシステムの自動ラベル付けを有効にする（必須）
touch /.autorelabel

# 3. 再起動（起動時にラベル付けが実行される）
shutdown -r now

# autorelabelが実行中かどうか確認する
ls -la /.autorelabel
-rw-r--r-- 1 root root 0 Apr  1 10:00 /.autorelabel
# ファイルが存在すれば処理中（再起動後に消える）