[RHEL] semodule SELinux 정책 모듈 관리

부제: 설치된 정책 모듈을 조회하고, 우선순위·이름으로 확인한다

semodule -l                       # 설치된 모듈 이름 목록
semodule --list-modules=full      # 우선순위와 형식까지

200 adcli             pp
200 cockpit           pp
200 container         pp
100 abrt              pp
100 accountsd         pp
100 acct              pp

semodule은 SELinux 정책 모듈을 관리하는 도구다. RHEL의 targeted 정책은 수백 개의 모듈이 모여 만들어지며, 각 모듈은 특정 서비스(httpd, container 등)의 규칙을 담는다. -l은 설치된 모듈 이름만, --list-modules=full은 앞에 우선순위 숫자와 형식(pp)까지 보여준다. 우선순위 200은 배포판이 나중에 얹은 것으로 100번 기본 모듈을 덮어쓴다. 모듈 설치(-i)·제거(-r)는 정책을 바꾸는 작업이라 신중해야 하지만, 목록 조회는 언제든 안전하다. 데비안엔 이 모듈 체계 자체가 없다.

이렇게도 쓴다

특정 모듈이 설치돼 있는지 이름으로 확인한다(조합).

semodule -l | grep -w container

 

우선순위가 높게(200) 덮인 모듈만 추린다(조합).

semodule --list-modules=full | grep '^200'

 

설치된 모듈 개수를 센다(조합).

semodule -l | wc -l

 

정책 저장소를 다시 빌드해 커널에 재적용한다.

semodule -B

 

특정 우선순위로 모듈을 추출한다.

semodule --extract=container -X 200