强制访问控制Cloud Computing

一个最新的Linux系统是非常安全的，有内置的病毒攻击保护和其他基本的安全功能。然而，在当今的远程访问和国际电子商务的世界里，风险很大，一些首席信息官和网络经理想知道他们是否能使他们的Linux系统更加安全。为你的Linux环境增加另一层安全的另一个选择是整合强制访问控制（MAC）。

强制性访问控制是一个从用于军事机密和其他特权信息的多级安全系统发展而来的概念。理解MAC的最好方法是考虑它与现成的Linux环境中使用的基于Unix的传统Discretionary Access Control（DAC）系统有什么不同。 

传统的Linux系统为资源分配读/写/执行权限，并让所有者或管理员向用户和组授予访问权。一个superuser （通常称为 "根 "用户）对系统有完全的控制权，可以访问或授权访问任何资源。如果每个人都表现得很好，没有人犯错，它就很灵活，容易理解，而且非常安全。但是，如果一个资源的所有者无意中把访问权给了一个不应该有的人，怎么办？或者，也许更重要的是，如果用户账户被破坏了，入侵者利用DAC系统内置的灵活性来提升权限怎么办？

全能的 "root "账户的存在是另一个与高度安全组织中使用的细化安全原则不一致的特征。高度安全的环境往往根据精确的职责为系统管理员分配角色。强制性访问控制让你创建政策，给予用户最低限度的必要权限，并防止更改和权限升级。IT行业的一切都有成本，所以在你采用强制访问控制的系统之前，要确定它是你需要的。灵活性的丧失会增加开销和业务流程的复杂性，有时会迫使管理部门对本来是普通的任务进行干预。

Linux中最流行的两个强制访问控制工具是SELinux和AppArmor。基于Red Hat的发行版，如CentOS 7和CentOS 8，都为SELinux进行了预配置。Ubuntu 和openSUSE 使用AppArmor；然而，如果你更习惯于AppArmor，或者觉得SELinux对你的环境更有效，开发者可以随时卸载它并设置它。AppArmor和SELinux都采取了Linux内核模块的形式，可以被配置为在大多数主要的Linux系统上运行，尽管技术支持的程度可能有所不同。

一般来说，AppArmor更容易配置和操作；然而，尽管AppArmor非常安全--而且比没有强制性访问控制框架的操作要安全得多--但SELinux提供了更深和更多的保护水平。AppArmor是为保护文件和其他资源而设计的；然而，它并没有为进程提供同等的保护。另外，由于AppArmor通过路径引用资源，理论上已经在系统上的入侵者可以在硬链接上玩一些花样，而使用基于内码的SELinux是不可能的。

SELinux最初是基于美国国家安全局（NSA）的研究而开发的，NSA是美国国防部的一个国家级情报机构。它为访问控制提供了一种更严密的方法。然而，由于它更难配置和操作，预计它需要额外的配置时间和更长的IT人员学习曲线。

有了团队的认同，MAC的好处很多，可以为整个公司结构中的安全第一意识铺平道路。