13、SELinux安全策略中的约束与多级安全机制详解

SELinux安全策略中的约束与多级安全机制详解

一、Label Transition Constraints

SELinux支持一种名为validatetrans的约束语句，其作为改进后的多级安全特性的一部分被引入，主要用于进一步控制受支持对象安全上下文的更改能力。截至目前，该约束仅支持文件系统对象，如文件、目录、设备文件等。

与constrain语句不同，validatetrans语句允许将对象的新旧安全上下文相互关联，还能与尝试重新标记对象的进程的安全上下文关联。为此，该语句引入了新的关键字：
-t3、r3、u3分别代表进程安全上下文的类型、角色和用户。
-*1关键字代表旧的安全上下文。
-*2关键字代表新的安全上下文。

需要注意的是，不要混淆constrain和validatetrans语句中关键字的关联。在constrain语句中，t1代表源（或调用进程）类型，t2代表目标（对象）类型；而在validatetrans语句中，t3是源进程类型，t1是“旧”类型，t2是“新”类