14、SELinux中MLS约束机制的深入解析

SELinux中MLS约束机制的深入解析

1. MLS约束概述

SELinux支持两种MLS约束语句，分别是mlsconstrain和mlsvalidatetrans，借助它们我们能够指定可选的MLS访问强制规则。这两个语句与非MLS的对应语句基本相同，不过它们还允许基于安全上下文的安全级别来表达约束条件。需要注意的是，只有启用了可选MLS特性的策略才能使用MLS约束，而非MLS约束语句则可在任何类型的策略中使用。

2. mlsconstrain语句

2.1 语句基础

mlsconstrain语句是基于constrain语句构建的，它可以使用之前讨论过的constrain语句的任何语法。同时，mlsconstrain语句新增了一些关键字，用于基于源（l1和h1）和目标（l2和H2）的低和高安全级别来声明约束条件。其完整语法如下：

mlsconstrain class_set perm_set expression ;

各部分的含义如下：
-class_set：一个或多个对象类。多个对象类必须用空格分隔，并包含在花括号{}中，例如{file lnk_file}。此语句的类集中不允许使用特殊运算符*