今天先寫現象：

某臺服務器由於誤操作啟動了SELinux，導致了服務器無法登陸，原有用戶名口令全部失效。再關閉SElinux後，恢復正常。

我現在的好奇在於，SElinux基於什麽樣的原理阻止了單用戶模式下的passwd命令執行。

SELiunx原理:

通過一個在linux內核外掛的模塊LSM（Linux Security Modules），在原生linux的權限管理後增加了一個鉤子（hook），在原生權限檢查後，通過這個鉤子增加了SELinux的策略檢查。通過這個被稱為類型強制的機制，可以進行文件讀寫，目錄屬性，TCP連接等各類資源的管理。其中就包括系統管理的限制，能夠限制passwd的可執行用戶。也就是說如果需要啟用SELinux，就需要一個完整的，完備的策略組。管理的過嚴會給日常管理帶來極大不便，管理過松就失去了意義。

Linux的SElinux可能導致的服務器異常的研究