<div dir="ltr">Hello, Ivan.<div><br></div><div>Perhaps, you should enable selinux kernel configuration as well. The openbmc kernels, if I'm not mistaken, have different recipes.</div><div><br></div><div>The default configuration relies on linux-yocto package:</div><div><a href="http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux/tree/recipes-kernel/linux">http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux/tree/recipes-kernel/linux</a><br></div><div><br></div><div>You should include this selinux.cfg in on of the openbmc kernel layers:</div><div><br></div><div>SRC_URI += "file://selinux.cfg"</div><div><br></div><div>and copy selinux.cfg to one of the local files location.</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, 2 Nov 2020 at 18:46, Ivan Li11 <<a href="mailto:rli11@lenovo.com">rli11@lenovo.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><br>
> -----Original Message-----<br>
> From: Andrew Jeffery <<a href="mailto:andrew@aj.id.au" target="_blank">andrew@aj.id.au</a>><br>
> Sent: Monday, November 2, 2020 8:54 AM<br>
> To: Artem Senichev <<a href="mailto:artemsen@gmail.com" target="_blank">artemsen@gmail.com</a>>; Ivan Li11 <<a href="mailto:rli11@lenovo.com" target="_blank">rli11@lenovo.com</a>><br>
> Cc: <a href="mailto:openbmc@lists.ozlabs.org" target="_blank">openbmc@lists.ozlabs.org</a><br>
> Subject: [External] Re: SELinux support question<br>
> <br>
> <br>
> <br>
> On Fri, 30 Oct 2020, at 16:25, Artem Senichev wrote:<br>
> > Hi Ivan,<br>
> ><br>
> > Yocto has a layer for SELinux<br>
> > (<a href="http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux" rel="noreferrer" target="_blank">http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux</a>), you can try<br>
> > it.<br>
> > But the layer depends on Python for management tools, which does not<br>
> > exist in the OpenBMC image anymore.<br>
> > The problem is that Python significantly increases image size, it will<br>
> > be more than 32MiB, which causes some troubles with qemu emulation.<br>
> <br>
> The problem is broader than qemu though, it would also be broken on any<br>
> platform shipping a 32MiB flash part if the image exceeds 32MiB.<br>
> <br>
> That said, if there are systems that ship bigger parts and enabling SELinux for<br>
> those is feasible, we should add those platform models to qemu so emulating<br>
> them isn't constrained by the existing platform support.<br>
> <br>
> Andrew<br>
<br>
Hi Andrew and Artem,<br>
Per your suggestion, I try to enable SELinux with Yocto SELinux layer(<a href="http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux" rel="noreferrer" target="_blank">http://git.yoctoproject.org/cgit/cgit.cgi/meta-selinux</a>) and 64MiB flash part.<br>
But encountered one problem which is when I use command "getenforce" to check SELinux mode, it always returns "Disabled" even if SELinux mode in config file '/etc/selinux/config' is permissive or enforcing by default.<br>
<br>
Please help to advise it.  <br>
</blockquote></div>