2026-09-29 K8s 全节点 SELinux AVC 巡检报告
- 巡检范围：本环境 18 台主机（
192.168.31.10、.13–.29）
- 巡检时间：2026-09-29 20:45（CST）
- 巡检性质：只读，未改变任何系统状态
- 触发原因：当日宿主机重启暴露出
k8s-master-01 上的 haproxy 长期依赖 SELinux permissive 放行
（详见 k8s-restart-16443-selinux-20260929/SOP.md），需确认其他主机是否存在同类"被放行"隐患
- 采集方式：逐台 ssh 执行
getenforce 与 grep -c "type=AVC" /var/log/audit/audit.log，
范围为主机 + 时间窗（截至巡检时刻）+ 该命令 + 无额外过滤条件
1. 核查项
| 核查项 |
当前值 |
阈值 |
结论 |
| SELinux 运行模式 |
k8s / slurm / lustre / license 共 12 台 Enforcing；lsf 5 台 + hpc-submit 共 6 台 Disabled |
与设计一致 |
待确认（.23–.28 为 Disabled，是否有意为之未知） |
| 未处理 AVC 数量（逐台） |
17 台为 0；k8s-master-01 为 417 |
0 |
异常（仅 master-01，且已停止产生，见第 2 节） |
| master-01 AVC 进程分布 |
comm="haproxy" 416 条、comm="keepalived" 1 条 |
— |
均为当日故障的历史痕迹 |
| master-01 AVC 拒绝类型分布 |
name_connect 415、name_bind 1、setattr 1 |
— |
name_bind(16443) 与 name_connect(6443) 为当日根因，已修复 |
| AVC 目标类型 |
416 条均为 tcontext=system_u:object_r:unreserved_port_t |
— |
与"端口未登记"判断一致 |
| AVC 是否仍在产生 |
最后一条时间戳 audit(1790685208)，即 20:33:28，早于 20:33 完成的 haproxy_connect_any 启用 |
巡检时刻之后应无新增 |
正常（已停止） |
2. 异常清单
| # |
异常 |
判定 |
依据 |
| 1 |
k8s-master-01 累计 417 条 AVC |
非活跃：全部产生于 2026-09-29 20:33 之前 |
415 条 name_connect 的最后一条时间戳为 20:33:28；此后至巡检时刻（20:45+）无新增；haproxy 现 active、VIP 入口 healthz=ok |
| 2 |
.23–.28（5 台 lsf + hpc-submit）SELinux Disabled |
待确认：不判定为异常 |
该 6 台无任何 AVC（Disabled 下本就不产生），仅能说明其未启用 SELinux 强制模式；是否属于初始设计无从由本次采集判定 |
| 3 |
haproxy 配置内 stats auth 为口令明文 |
低风险 |
/etc/haproxy/haproxy.cfg 第 28 行；stats 仅监听 127.0.0.1:9000，暴露面限于本机 |
说明：AVC 计数取自 /var/log/audit/audit.log 主文件，不含已轮转的历史日志（audit.log.1 等）；
若需完整历史，应另用 ausearch 加更长时间窗核对。
3. 处置建议（按风险从高到低）
| 优先级 |
建议 |
下一步 |
| 高 |
无。本次巡检未发现活跃的安全拒绝或未处理异常 |
— |
| 中 |
确认 .23–.28 六台 SELinux Disabled 是否为有意设计 |
若为安装时统一选择，记录进 env-inventory/inventory.yaml 作为环境事实；若为遗漏，需单独评估是否启用（启用前必须做 AVC 预演，避免重复本次 master-01 的故障形态） |
| 低 |
haproxy stats 口令明文 |
可改为仅 root 可读的外部口令文件，或定期轮换；stats 已限制在 127.0.0.1，非紧急 |
| 低 |
保留"AVC 归零"作为基线 |
后续巡检可直接对比：本次基线为「17 台 = 0，master-01 = 417（历史）」 |
4. 结论
- 当日 SELinux 相关故障只影响
k8s-master-01 一台，且已随 16443 入口修复而停止产生新的拒绝记录。
- 其余 17 台无任何未处理 AVC，不存在同类"靠 permissive 放行"的隐患面。
- 唯一待确认项是 6 台
Disabled 主机的策略意图，属合规确认，非故障。
来源：/home/rain/Documents/k8s_ins/k8s-followup-20260929/20260929-K8s全节点-SELinux-AVC巡检报告.md ｜ 最后更新：2026-09-29 20:51（由 build/sync.py 同步，请勿在站点侧修改）