使用 SELinux 保护容器

本页面介绍如何通过启用 SELinux 来保护容器。RHEL 和 CentOS 支持 SELinux。如果您的宿主机正在运行 RHEL 或 CentOS，并且您想要启用 SELinux，则您必须先在所有宿主机上启用 SELinux，然后才能安装或升级 Anthos clusters on Bare Metal。

检查是否已启用 SELinux

RHEL 和 CentOS 上默认启用 SELinux。如需对此进行验证，请运行以下命令：

$ getenforce

该命令会返回 Enforcing、Permissive 或 Disabled。如果该命令返回 Enforcing，您可以继续升级或创建集群。

启用 SELinux

如果 getenforce 命令返回 Permissive，则您可以使用 setenforce 命令切换到 Enforcing 模式。使用 setenforce 在 Permissive 和 Enforcing 模式之间切换不需要重新启动系统。不过，如果您希望这些更改在重新启动后仍然存在，则必须更新 /etc/selinux/config 文件。

如需切换到 Enforcing 模式，请运行以下命令：

$ sudo setenforce 1 # temporary
$ sudo sed -i 's/SELINUX=permissive/SELINUX=enforcing/g' /etc/selinux/config # persistent - after reboot

如果 SELinux 为 Disabled，则如需启用它，我们建议您首先在 Permissive 模式下启用它，然后重新启动系统以验证系统是否已成功启动。如果没有出现任何 SELinux 错误，您便可以安全地将 SELinux 切换到 Enforcing 模式。

  1. 可选：在 Permissive 模式下启用 SELinux：

    $ sudo sed -i 's/SELINUX=disabled/SELINUX=permissive/g' /etc/selinux/config
$ sudo reboot

  2. 如果系统成功重新启动并且没有出现任何 SELinux 错误，您便可以启用 Enforcing 模式：

    $ sudo sed -i 's/SELINUX=disabled/SELINUX=enforcing/g' /etc/selinux/config
$ sudo reboot

在 Enforcing 模式下启用 SELinux 后，您便可以继续升级或安装 Anthos clusters on Bare Metal。