Linux SELinux（Security-Enhanced Linux）是一种用于提供强制访问控制（MAC）安全模块的Linux安全策略。SELinux支持以下访问控制：
- 用户身份和角色：SELinux使用用户、角色和权限来定义访问控制。用户可以被分配到不同的角色，而角色又可以被赋予特定的权限。这些权限决定了用户可以访问哪些资源以及执行哪些操作。
- 类型：SELinux中的每个对象（如文件、进程、设备等）都有一个类型。类型定义了对象可以属于哪些域，以及域之间如何互相访问。通过将对象分配给正确的类型，可以限制对敏感资源的访问。
- 级别：SELinux还使用级别来进一步细化访问控制。级别定义了对象可以属于哪些安全上下文，以及不同安全上下文之间的访问权限。通过设置不同的级别，可以更精细地控制对资源的访问。
- 策略：SELinux的策略是一组规则，用于定义哪些用户、角色和权限可以访问哪些资源以及执行哪些操作。策略可以基于多种因素（如用户身份、角色、类型和级别）来制定，以确保系统的安全性。
- 访问向量表（AV）：AV表是SELinux中用于定义访问权限的数据结构。它包含了对象类型、安全上下文、用户和角色之间的映射关系，以及允许和拒绝的访问权限。
- 布尔值：布尔值是一种简单的访问控制机制，用于启用或禁用特定的策略规则。通过设置布尔值，可以轻松地控制对特定资源的访问权限。
- 范围：范围是SELinux中用于定义对象安全上下文的属性集合。范围定义了对象可以属于哪些域，以及域之间如何互相访问。通过将对象分配给正确的范围，可以限制对敏感资源的访问。
- 策略缓存：为了提高性能，SELinux会缓存策略决策。当系统需要做出访问控制决策时，它会首先检查策略缓存以确定是否已经存在相应的策略规则。如果存在有效的策略规则，系统将直接使用该规则进行决策；否则，系统将重新评估策略规则并更新策略缓存。
- 审计和日志记录：SELinux支持审计和日志记录功能，用于记录对敏感资源的访问尝试以及相关的安全事件。通过启用审计和日志记录功能，可以追踪潜在的安全威胁并采取相应的措施来应对。
- 强制访问控制（MAC）：与传统的自主访问控制（DAC）相比，SELinux提供了更严格的访问控制机制。在SELinux中，只有具有适当权限的用户才能访问敏感资源，即使他们拥有该资源的访问权限也无法执行特定操作。这有助于防止未经授权的访问和潜在的安全威胁。
总之，SELinux通过用户身份和角色、类型、级别、策略、访问向量表、布尔值、范围、策略缓存、审计和日志记录以及强制访问控制等多种机制来实现全面的访问控制。这些机制共同作用以确保系统的安全性和数据的机密性。
