Yocto构建只读RootFS时SELinux-image.bbclass执行失败求助

问题根源 #

策略文件未同步到IMAGE_ROOTFS，核心原因是：

• packagegroup-core-selinux可能未完整拉取refpolicy策略包，或其依赖逻辑在只读RootFS场景下失效
• selinux-image.bbclass的默认规则对只读RootFS做了特殊处理，跳过了策略文件的拷贝步骤

修复步骤 #

1. 明确指定安装完整SELinux策略包 #

直接在my_image.bb中追加具体依赖包，避免依赖组的模糊性：

IMAGE_INSTALL_append = " refpolicy refpolicy-core policycoreutils"

2. 修正selinux-image.bbclass的策略部署逻辑 #

找到该class文件中的selinux_set_labels任务，检查是否存在针对只读RootFS的分支判断导致策略文件被跳过。修改时强制加入策略文件拷贝逻辑：

# 在selinux_set_labels任务中添加
cp -rf ${STAGING_DIR_TARGET}/etc/selinux/* ${IMAGE_ROOTFS}/etc/selinux/
chcon -R system_u:object_r:etc_t:s0 ${IMAGE_ROOTFS}/etc/selinux/

（注：STAGING_DIR_TARGET下的refpolicy策略文件是构建阶段生成的最终产物，直接拷贝即可）

3. 确认SELinux配置参数生效 #

在conf配置文件中确保以下参数正确设置：

SELINUX_POLICY_TYPE = "mls"
SELINUX_ENABLE = "1"
IMAGE_FEATURES += "selinux"
# 只读RootFS需额外添加，避免系统清理SELinux目录
IMAGE_FEATURES_remove = "read-only-rootfs"  # 若之前开启了该特性，先临时关闭策略安装，后续再重新开启只读

4. 临时应急方案（无需修改bbclass） #

在my_image.bb中添加自定义后处理任务，手动同步策略文件：

ROOTFS_POSTPROCESS_COMMAND += "copy_selinux_policy;"
copy_selinux_policy() {
    mkdir -p ${IMAGE_ROOTFS}/etc/selinux
    cp -r ${STAGING_DIR_TARGET}/etc/selinux/* ${IMAGE_ROOTFS}/etc/selinux/
    chmod -R 0755 ${IMAGE_ROOTFS}/etc/selinux/
}

内容的提问来源于stack exchange，提问作者user2095970