Yocto Dunfell构建Congatec iMX8m SOM镜像无法启用SELinux求助

我正在为Congatec iMX8m SOM构建定制Yocto镜像，尝试启用SELinux，但相关组件安装后始终无法切换到启用模式（强制/宽容），sestatus命令一直返回Disable。

已尝试的配置步骤 #

1. 镜像层配置（image.bb） #

添加SELinux相关继承和包：

inherit selinux-image

#install SELinux packages
IMAGE_INSTALL_append = "\
    packagegroup-core-selinux \
"

2. 全局配置（local.conf） #

启用相关DISTRO特性：

DISTRO_FEATURES_append += "acl pam selinux xattr systemd"
...
DISTRO_FEATURES_BACKFILL_CONSIDERED = ""
VIRTUAL-RUNTIME_init_manager = "systemd"
PREFERRED_PROVIDER_virtual/refpolicy ?= "refpolicy-targeted" 

3. 内核配置修改 #

添加SELinux相关内核选项：

CONFIG_SECURITY_NETWORK=y
CONFIG_SECURITY_SELINUX=y
CONFIG_SECURITY_SELINUX_BOOTPARAM=y
CONFIG_SECURITY_SELINUX_BOOTPARAM_VALUE=1 
CONFIG_SECURITY_SELINUX_DISABLE=n
CONFIG_SECURITY_SELINUX_DEVELOP=y
CONFIG_SECURITY_SELINUX_AVC_STATS=y
CONFIG_SECURITY_SELINUX_CHECKREQPROT_VALUE=0
#CONFIG_SECURITY_SELINUX_POLICYDB_VERSION_MAX is not set

4. 内核启动参数调整 #

尝试在启动命令行添加selinux=1和enforcing=0/1，问题依旧。

排查与解决建议 #

1. 检查根文件系统挂载参数
   确保根分区挂载时包含selinux和xattr选项。查看/etc/fstab或内核启动命令行的rootflags参数，确认是否添加了xattr,selinux。可通过Yocto的ROOTFS_MOUNT_OPTIONS或自定义fstab配置来补充。

2. 验证SELinux策略安装状态
   检查根文件系统中是否存在/etc/selinux/config文件，以及/usr/share/selinux/targeted目录下的策略文件。若策略缺失，执行bitbake -e refpolicy-targeted查看包构建输出路径，确认产物是否被正确纳入镜像。

3. 补全内核SELinux依赖选项
   除已配置项外，确保以下内核选项启用：

   CONFIG_SECURITY=y
   CONFIG_SECURITYFS=y
   CONFIG_SECURITY_NETWORK_XFRM=y
   CONFIG_XATTR_USER=y
   CONFIG_EXT4_FS_SECURITY=y # 若使用ext4根文件系统
   

   这些是SELinux正常工作的基础依赖，iMX8m默认内核配置可能未开启部分选项。

4. 确认U-Boot启动参数传递
   在U-Boot控制台执行printenv bootargs，检查selinux=1是否被正确传递。部分SOM的U-Boot可能覆盖启动参数，需在U-Boot配置中添加或通过bootargs环境变量固化该参数。

5. 检查文件系统SELinux标签
   在目标设备上执行ls -Z /，查看文件是否带有SELinux上下文标签。若标签缺失，说明镜像构建时标签化过程失败，可尝试手动执行restorecon -R /修复，或检查selinux-image类是否正确继承生效。

内容的提问来源于stack exchange，提问作者Josh Patterson