AWS SSM用户SELinux上下文切换异常：无法执行sudo命令求助

问题根源 #

你遇到的核心问题是：通过su - <username>切换Unix用户后，SELinux用户并未同步切换，仍保留ssm-user的system_u身份。而system_u（系统级SELinux用户）与sysadm_r角色的组合是无效的，这就是sudo报错的直接原因。

分步解决方案 #

1. 确认Unix用户与SELinux用户的映射关系 #

首先检查你的个人账户（）是否已正确关联到SELinux用户staff_u：

semanage login -l | grep <username>

如果输出中没有<username>对应的staff_u条目，需手动建立映射：

semanage login -a -s staff_u <username>

2. 确保su命令同步切换SELinux上下文 #

检查PAM配置，保证su命令切换Unix用户时自动切换SELinux上下文：
编辑/etc/pam.d/su，确认存在以下配置行（默认已包含，缺失则添加）：

session    required     pam_selinux.so open

3. 验证切换后的SELinux上下文 #

重新执行用户切换命令，然后检查当前上下文：

su - <username>
id -Z

正确输出应为：staff_u:staff_r:staff_t:s0，而非保留system_u相关的上下文信息。

4. 配置sudoers适配SELinux角色 #

若需让staff_u用户执行sudo操作，需在sudoers中明确允许对应的SELinux角色和域：

1. 使用visudo编辑sudoers文件（避免语法错误）：

visudo

2. 添加或修改规则（替换<username>为你的账户名）：

<username> ALL=(ALL) ROLE=sysadm_r TYPE=sysadm_t ALL

这条规则允许该用户以sysadm_r角色和sysadm_t域执行所有sudo命令。

5. （可选）用runcon强制切换SELinux上下文 #

如果上述步骤未生效，可在切换用户前直接强制切换SELinux上下文：

runcon -u staff_u -r staff_r -t staff_t su - <username>

此命令会先将SELinux上下文切换为staff_u的默认配置，再切换到目标Unix用户。

验证测试 #

完成配置后，切换到目标用户并执行sudo命令验证：

su - <username>
sudo whoami

若成功输出root，说明SELinux上下文已正确切换，sudo功能恢复正常。

内容的提问来源于stack exchange，提问作者Mark_Eng