Kickstart包安装控制台日志配置及CentOS 6 SELinux模块安装问题排查

这个坑我之前也踩过，核心问题是Kickstart的%post执行环境和系统正常启动后的环境存在差异，咱们一步步排查：

首先，先确认%post段确实执行了，且semodule命令没有静默报错。你可以在%post里添加日志输出，把执行细节记录下来：

%post
# 记录SELinux状态及命令执行的所有输出
getenforce >> /var/log/semodule_install.log 2>&1
echo "开始安装SELinux模块..." >> /var/log/semodule_install.log 2>&1
semodule -i /path/to/your/module.pp >> /var/log/semodule_install.log 2>&1
# 安装完成后立刻检查模块是否加载成功
semodule -l | grep your_module_name >> /var/log/semodule_install.log 2>&1
echo "SELinux模块安装完成于 $(date)" >> /var/log/semodule_install.log 2>&1
%end

安装完成后查看/var/log/semodule_install.log，就能明确执行时是否出现路径错误、权限问题或SELinux状态导致的失败。

接下来排查几个常见的关键点：

• 路径问题：%post默认是chroot到目标系统执行的，所以你写的路径是相对于目标系统根目录的。如果模块放在ISO的自定义目录里，得先把它复制到目标系统再安装，比如：

  %post
  # 挂载安装介质，复制模块文件到目标系统
  mount /dev/cdrom /mnt/install
  cp /mnt/install/extra/your_module.pp /tmp/
  semodule -i /tmp/your_module.pp
  umount /mnt/install
  rm /tmp/your_module.pp
  %end
  

• SELinux执行环境差异：%post执行时，目标系统的SELinux可能还未完全初始化，甚至处于permissive模式，或者selinux-policy包未安装完整？可以在%post里先确保基础政策包安装完成：

  %post
  yum install -y selinux-policy-targeted
  # 先加载基础政策
  load_policy
  semodule -i /path/to/module.pp
  %end
  

• 重启后的政策加载问题：有时候%post里安装成功了，但重启后SELinux重新加载政策时，模块被覆盖或损坏。可以查看/var/log/audit/audit.log里的相关报错，或者在重启前执行semodule -s targeted -i /path/to/module.pp指定政策存储，确保模块被正确保存。
• 环境变量问题：%post的默认PATH可能未包含/usr/sbin，而semodule恰好位于该路径下，所以可以在%post开头添加export PATH=/usr/sbin:/usr/bin:$PATH，避免出现“命令找不到”的问题。

如果日志显示semodule执行成功，但重启后模块消失，大概率是重启时SELinux政策未正确加载，你可以检查/etc/selinux/config里的SELINUX设置是否为enforcing或permissive，如果是disabled，SELinux模块根本不会被加载。

内容的提问来源于stack exchange，提问作者Lightness Races in Orbit