最新下载
热门教程
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Linux系统SELinux与AppArmor区别
时间：2026-06-11 09:38:56 编辑：袖梨 来源：一聚教程网
Linux SELinux 与 AppArmor 的核心差异
概览两者都是 Linux 内核通过 LSM（Linux Security Modules） 框架实现的 强制访问控制（MAC） 机制，但侧重点不同：SELinux 以系统级的“标签/类型”为核心，策略表达能力强、细粒度与一致性更高；AppArmor 以“应用/路径”为核心，配置文件直观、上手和维护成本更低。常见发行版默认选择也不同：RHEL/CentOS/Fedora 倾向默认启用 SELinux，而 Ubuntu/openSUSE 通常默认启用 AppArmor。
关键差异对比
| 维度 | SELinux | AppArmor |
|---|---|---|
| 控制粒度与定位 | 系统级 MAC，面向主体/客体标签的全局策略 | 应用级 MAC，围绕进程/程序的配置文件 |
| 标识方式 | 给文件、进程等对象打上安全上下文标签（基于 inode） | 以文件路径匹配为主 |
| 策略语言与复杂度 | 类型强制（TE）、角色（RBAC）、MLS/MCS 等，规则体系复杂 | 基于配置文件的访问控制列表，语法直观 |
| 学习与调优 | 需理解标签/类型/域，配合工具逐步收敛策略 | 提供complain/学习模式，可先记录违规再生成/调整配置 |
| 文件系统依赖 | 依赖支持安全标签的文件系统（如 ext4 启用 xattrs） | 文件系统无关，对挂载类型更友好 |
| 默认与生态 | RHEL/CentOS/Fedora 默认启用，生态与工具链成熟 | Ubuntu/openSUSE 默认启用，预置大量应用配置 |
| 典型命令/工具 | getenforce、setenforce、sepolicy、audit2allow | apparmor_status、aa-complain、aa-enforce、apparmor_parser |
| 适用场景 | 高安全合规、细粒度最小权限、复杂多域环境 | 快速为关键应用（如 Nginx/MySQL）加“安全带”，容器/主机加固 |
上述要点分别来自对两者工作原理、发行版默认策略、管理命令与工具、以及文件系统依赖性的公开资料与运维实践总结。
如何选择
- 需要跨进程、跨用户的细粒度与一致性安全控制，或面临合规审计场景，优先选择 SELinux（更严谨，策略表达力更强）。
- 追求快速落地与易维护，希望为少量关键应用快速“上锁”，优先选择 AppArmor（配置直观、学习模式友好）。
- 结合发行版生态：在 RHEL/CentOS/Fedora 环境继续强化 SELinux；在 Ubuntu/openSUSE 环境优先利用 AppArmor 的预置配置与工具链。
实践建议
- 无论采用哪种机制，先在测试环境启用，逐步从 Permissive/Complain 过渡到 Enforcing，避免业务中断。
- 利用工具做策略收敛与排错：SELinux 侧用 audit2allow 辅助生成策略，AppArmor 侧用 aa-complain/aa-enforce 切换模式并观察日志。
- 持续审计与监控：关注 /var/log/audit/audit.log 或 /var/log/syslog 中的拒绝日志，按需微调策略，避免过度放行。