AutoSEL

工程挑戰

容器工作負載會隨生命週期與設定持續變動，手動管理 SELinux 政策需要檢視容器設定、產生適用規則，並在變更時更新控管方式。AutoSEL 以碩士論文為背景，探討如何自動化這段政策管理流程。

架構與設計

• 監聽 Docker 容器事件，並在工作負載啟動或變更時檢查容器設定。
• 解析容器設定，整理政策產生元件所需的輸入資料。
• 產生並載入 SELinux 政策，再透過自訂 SELinux 標籤套用至容器。
• 監聽到需要更新政策的事件時，重新產生政策並替換受影響的容器。

實作內容

• 將系統拆分為容器監控、設定解析、政策建立與政策套用元件。
• 依 Docker 容器事件自動產生或重新載入政策。
• 記錄套用產生政策與 SELinux 標籤時所使用的容器替換流程。
• 展示對 privileged 容器、裝置與主機掛載，以及系統能力的政策控管。

驗證與影響

• 專案文件包含自動產生與重新載入政策的示範，也展示對 privileged 操作、掛載與系統能力的限制。
• 這些是文件中記錄的專案示範；目前沒有宣稱已正式導入、大規模效能測試或營運影響量測。

限制與後續工作

• 套用重新產生的政策可能需要停止並替換容器，因此需評估工作負載中斷與資料處理方式。
• 現有專案資料未提供大規模效能結果或正式環境部署驗證。