SELinux内核架构

最早期的SELinux是Linux系统一个增强安全的补丁集，其后为解决每个系统对安全的细节控制不尽相同的问题，Linux安全框架（LSM， Linux Security Modules）被提出，使SELinux可作为可加载的安全模块运行。

LSM是一个底层的安全策略框架，Linux系统利用LSM管理所有的系统调用。SELinux通过LSM框架整合到Linux内核中。

当用户进程执行系统调用时，进程首先遍历Linux内核现有的逻辑寻找和分配资源，进行一些常规的错误检查，然后进行DAC自动访问控制。

自主访问控制（DAC， Discretionary Access Control）

进程仅在内核访问内部对象之前，由LSM的钩子询问LSM模块可否访问，LSM模块处理该策略问题并回答可以访问或拒绝访问。

LSM框架主要包括安全服务器、客体管理器和访问向量缓存。LSM模块架构如图所示。

安全服务器负责策略决定，安全服务器使用的策略通过策略管理接口载入。

客体管理器负责按照安全服务器的策略决定强制执行它管理的资源集。

对于内核，客体管理器可以理解为一个内核子系统，负责创建并管理内核级的客体，包括文件系统、进程管理和System V进程间通信（IPC， Inter-Process Communication）。

访问向量缓存（AVC， Access Vector Cache）提升了访问确认的速度，并为LSM钩子和内核客体管理器提供了SELinux接口。