さくらのVPSでRocky LinuxのSELinuxを有効化する

さくらのVPSのRocky Linuxでは、SELinuxがカーネルパラメータから完全に無効化されています。

よって、 /etc/selinux/config を書き換えるだけでは、有効化できません。

ディストリビューションの確認

$ cat /etc/rocky-release
Rocky Linux release 9.0 (Blue Onyx)

SELinuxのステータスの確認

$ sestatus
SELinux status:                 disabled

configファイルの更新

$ sudo vi /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
# See also:
# https://docs.fedoraproject.org/en-US/quick-docs/getting-started-with-selinux/#getting-started-with-selinux-selinux-states-and-modes
#
# NOTE: In earlier Fedora kernel builds, SELINUX=disabled would also
# fully disable SELinux during boot. If you need a system with SELinux
# fully disabled instead of SELinux running with no policy loaded, you
# need to pass selinux=0 to the kernel command line. You can use grubby
# to persistently set the bootloader to boot with selinux=0:
#
#    grubby --update-kernel ALL --args selinux=0
#
# To revert back to SELinux enabled:
#
#    grubby --update-kernel ALL --remove-args selinux
#
SELINUX=disabled　← enforcing に変更
# SELINUXTYPE= can take one of these three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

カーネルパラメータの変更

$ sudo grubby --args=selinux=1 --update-kernel=ALL
$ sudo reboot

SELinuxのステータスの確認

有効化されていることが確認できます。

$ sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      33

カーネルコマンドラインに「selinux=1」が追記されていることを確認。

$ cat /proc/cmdline
BOOT_IMAGE=(hd0,gpt2)/boot/vmlinuz-5.14.0-70.17.1.el9_0.x86_64 root=UUID=xxxx ro consoleblank=0 console=ttyS0,115200 console=tty0 selinux=1