第4章 使用 audit2why 解释拒绝原因并生成优化建议

4.1 audit2why 工作原理

audit2why 是 SELinux 策略套件中的诊断工具，专门用于将 AVC（Access Vector Cache）拒绝日志翻译为人类可读的原因描述，并直接输出可执行的策略优化建议。与 audit2allow 只生成 allow 规则不同，audit2why 会结合策略数据库进行语义分析，指出拒绝发生的根本原因——是缺少类型强制规则、布尔值未启用，还是安全上下文标记错误。在帧率波动场景中，GPU/DRM 设备、共享内存和视频解码相关的系统调用频繁被 SELinux 拦截，使用 audit2why 可以快速定位是哪一类操作被阻止，从而精准修复帧率抖动。

4.2 实现流程：从 AVC 日志到优化建议

下图展示使用 audit2why 分析帧率相关拒绝并生成优化建议的完整工作流：

4.3 命令与 API 详解

audit2why 本身是命令行工具，无独立 API，但其分析逻辑可被 Python 库 setools 调用。以下为常用命令模式：

# 最常用的一行分析命令
ausearch -m avc -ts recent | audit2why

# 指定进程名 + 输出详细原因
ausearch -m avc -c xorg | audit2why -v

# 生成策略补丁格式（可直接用于编译）
ausearch -m avc -ts 14:00:00 -te 14:30:00 | audit2why -p

4.4 常见帧率相关拒绝类型分析

帧率波动场景中最常出现的三种拒绝类型为 mmap、ioctl 和 shm，它们直接影响显存映射、设备控制和进程间帧数据传递。下表对比各类型的影响特征：

4.4.1 mmap 拒绝实例

# AVC 日志原始记录
type=AVC msg=audit(1711987654.123:789): avc:  denied  { mmap } for  
pid=5678 comm="renderer" path="/dev/dri/card0" dev="devtmpfs" ino=12345  
scontext=unconfined_u:unconfined_r:unconfined_t:s0  
tcontext=system_u:object_r:dri_device_t:s0 tclass=chr_file

# 使用 audit2why 分析
$ ausearch -m avc -ts recent -c renderer | audit2why

type=AVC msg=audit(1711987654.123:789): avc:  denied  { mmap } for  
pid=5678 comm="renderer" path="/dev/dri/card0" dev="devtmpfs" ino=12345  
scontext=unconfined_u:unconfined_r:unconfined_t:s0  
tcontext=system_u:object_r:dri_device_t:s0 tclass=chr_file

Was caused by:
    Missing mmap permission on chr_file /dev/dri/card0.
    You can fix this by adding 
    'allow unconfined_t dri_device_t:chr_file mmap;' to your policy.

优化建议直接给出 allow 规则。对于帧率敏感场景，建议同时检查是否缺少 { read write } 权限，因为 mmap 通常需要与读写权限配合：

# 更完整的修复规则
allow unconfined_t dri_device_t:chr_file { mmap read write };

4.4.2 ioctl 拒绝实例

# AVC 原始记录
type=AVC msg=audit(1711987700.456:812): avc:  denied  { ioctl } for  
pid=5678 comm="renderer" path="/dev/dri/card0" dev="devtmpfs" ino=12345  
ioctlcmd=0x6402 scontext=unconfined_u:unconfined_r:unconfined_t:s0  
tcontext=system_u:object_r:dri_device_t:s0 tclass=chr_file

# audit2why 分析结果
$ ausearch -m avc -ts recent -c renderer | audit2why

Was caused by:
    Missing ioctl permission on chr_file /dev/dri/card0.
    ioctlcmd=0x6402 (DRM_IOCTL_MODE_SETCRTC) is used for display mode setting.
    You can fix this by adding 
    'allow unconfined_t dri_device_t:chr_file ioctl;' to your policy.

4.4.3 shm 拒绝实例

# AVC 原始记录
type=AVC msg=audit(1711987800.789:845): avc:  denied  { attach } for  
pid=9123 comm="vaapi_decoder" path="/dev/shm/memfd" dev="tmpfs" ino=67890  
scontext=unconfined_u:unconfined_r:unconfined_t:s0  
tcontext=unconfined_u:unconfined_r:unconfined_t:s0 tclass=shm

# audit2why 分析结果
$ ausearch -m avc -ts recent -c vaapi_decoder | audit2why

Was caused by:
    Missing attach permission on shm.
    Shared memory attachment is required for VA-API decoded frame transport.
    You can fix this by adding 
    'allow unconfined_t unconfined_t:shm { attach shm } ;' to your policy.

4.5 调试与验证方法

应用 audit2why 给出的优化建议后，必须重新编译策略并验证帧率是否恢复。以下是标准调试流程：

1. 生成规则文件：将 audit2why 输出的 allow 语句写入自定义 .te 文件。
2. 编译并加载策略模块：

# 创建策略模块
mkdir -p /tmp/fix_fps
cat > /tmp/fix_fps/fix_fps.te << 'EOF'
policy_module(fix_fps, 1.0.0)

require {
    type unconfined_t;
    type dri_device_t;
    class chr_file { mmap read write ioctl };
}

allow unconfined_t dri_device_t:chr_file { mmap read write ioctl };
EOF

# 编译并安装
make -f /usr/share/selinux/devel/Makefile fix_fps.pp
semodule -i fix_fps.pp

# 立即生效，无需重启

3. 验证帧率恢复：使用 vblank_mode=0 glxgears 或 mesa_ci 等工具测试帧率，确认不再掉帧。
4. 确认无新拒绝：

# 验证优化后是否仍有拒绝
ausearch -m avc -ts recent | audit2why

# 若输出为空，说明所有帧率相关拒绝已解决