CentOS 7 SELinux 無効化 – 既存環境での扱いと注意点

CentOS 7 は既にサポートが終了しています。このページは新規構築を推奨するものではなく、過去環境の保守、移行前調査、設定の読み解きに使うためのレガシー Linux 手順です。新規構築では、現在サポートされている Linux ディストリビューションを利用してください。

CentOS 7 サーバー管理ガイドへ戻る

CentOS 7 で SELinux を無効化する手順と、既存環境でその状態をどう読むかを整理します。SELinux は本来セキュリティ境界として有効な仕組みですが、古い運用ではトラブル回避のために無効化されていることがあります。

新規構築で安易に無効化することを推奨する記事ではありません。ここでは、既存環境で SELinux が無効化されている場合に、何を確認すべきかを中心に扱います。

現在の状態を確認する

getenforce
sestatus

一時的に Permissive にする

setenforce 0
getenforce

恒久設定を確認する

cp -a /etc/selinux/config /etc/selinux/config.bak
cat /etc/selinux/config

無効化する設定例

SELINUX=disabled
SELINUXTYPE=targeted

再起動後に確認する

reboot

getenforce
sestatus

無効化前に見るべきログ

本来は、SELinux が原因に見える場合でも、audit ログを見て何が拒否されているかを確認します。

ausearch -m AVC -ts recent
journalctl -t setroubleshoot --since today

確認するポイント

• 無効化が一時対応なのか恒久設計なのか。
• SELinux を止めた代わりに、どの境界で保護しているのか。
• Web、Samba、NFS などで本来必要な boolean や context を見落としていないか。
• 新規環境では無効化を前提にしない。

まとめ

CentOS 7 の既存環境で SELinux が無効化されている場合、その事実だけで良し悪しを判断せず、なぜ無効化したのか、代替の防御境界があるのかを確認します。トラブル対応としては audit ログを読み、可能なら無効化ではなく適切な context や boolean で解決する方が筋が良いです。

関連する記事

参考書籍

関連記事

CentOS 5 SELinux の基本 – enforcing / permissive / disabled を確認する CentOS 7 IPv6 無効化 – 既存環境で無効化する場合の確認点 CentOS 7 Firewalld 無効化 – 既存環境での扱いと代替の考え方 CentOS 8 SELinux – 状態確認とモード変更の基本 CentOS 7 PPPoE をカーネルモードで動かす – rp-pppoe plugin の検証 CentOS 7 NTP 設定 – 時刻同期の基本確認 CentOS 7 LDAP クライアント設定 – authconfig と nslcd の LDAPS 接続 CentOS 7 Postfix 内部向け SMTP サーバー構築 – relay と配送設計