SELinux Policies (Targeted, MLS)

SELinux Policies sont les ensembles de règles définissant les contexts (labels security) et les règles MAC (Mandatory Access Control) appliquées par SELinux. Trois modes : (1) **Enforcing** — règles appliquées ; (2) **Permissive** — règles loggées mais pas appliquées ; (3) **Disabled** — SELinux off.

Types de policies : (1) **Targeted** (default RHEL/Fedora/CentOS) — applies policies seulement à daemons confined (Apache, MySQL, SSH, etc.), reste du système unconfined ; (2) **MLS** (Multi-Level Security) — pour environnements government/military avec classifications strictes ; (3) **Minimum** — only base confined daemons.

Contexts : labels au format `user:role:type:level`. Most important : **type** (httpd_t, mysqld_t, ssh_t). Files labeled (`ls -Z`), processes labeled (`ps -Z`). Règles type enforcement : domain type X peut accéder type Y avec class/permissions spécifiés.

Outils : `getenforce`, `setenforce 0|1`, `semanage`, `sealert` (analyse logs audit denials), `audit2allow` (génère policy module depuis denials), `setroubleshoot`, `restorecon` (réapplique label canonical), `chcon` (change context temporaire), `semanage fcontext` (persistent change), `semanage port` (allow service bind port).

Web dev scenarios courants : Apache servir contenu non-default path → `chcon -R -t httpd_sys_content_t /custom/path` ou semanage fcontext + restorecon. Compétences RHCSA, EX294, RHCE.