默认情况下，如果 SELinux 是导致出错的原因，系统会将与此结果相关的日志消息发送到 /var/log/audit/audit.log 文件。这涉及到 auditd 服务是否正在运行。如果您发现 /var/log/audit 是空的，请使用以下命令启动 auditd 服务

并使用以下命令在系统目标中启用它

例 40.8: “/etc/audit/audit.log 中的示例行”中提供了 /var/log/audit/audit.log 的部分示例内容

乍看之下，audit.log 中的行读起来有点困难。但如果仔细分析，就会发现它们不是那么难以理解。每一行都可细分为不同的部分。例如，最后一行包含以下部分：

每个 SELinux 相关审计日志行都以类型标识 type=AVC 开头

这是时戳，遗憾的是，它是以纪元时间（自 1970 年 1 月 1 日开始经过的秒数）写入的。您可以针对纪元时间表示法中点号前面的部分使用 date -d，以确定该事件是何时发生的：

已被拒绝的特定操作。在本例中，系统已拒绝将数据追加到文件。在浏览审计日志文件时，您可以看到其他系统操作，例如 write open、getattr 等等。

发起操作的命令或进程的进程 ID

与该 PID 关联的特定命令

操作主体的名称

相关文件的块设备和 inode 编号

源环境，即操作发起者的环境

主体的类标识

您可以采用另一种方法来取代在 audit.log 中自行截获事件的做法。您可以使用 audit2allow 命令，它会帮助分析 /var/log/audit/audit.log 中晦涩难懂的日志消息。audit2allow 查错会话一律由三个不同的命令组成。首先，您会使用 audit2allow -w -a 以更易于理解的方式显示审计信息。audit2allow -w -a 默认对 audit.log 文件运行。如果您要分析 audit.log 文件中的特定消息，请将此消息复制到临时文件，然后使用以下命令分析该临时文件：

缺少类型强制 (TE) 允许规则。

要生成可装载的模块以允许这种访问，请运行

要确定具体哪条规则拒绝了访问，您可以使用 audit2allow -a 显示已记录到 audit.log 文件的所有事件中的强制规则，或使用 audit2allow -i FILENAME 显示应用于您储存在特定文件中的消息的规则：

要创建您可以装载以允许先前被拒绝的访问的 SELinux 模块 mymodule，请运行

如果您要对已记录到 audit.log 的所有事件执行此操作，请使用 -a -M 命令参数。要仅针对特定文件中的特定消息执行此操作，请按下面的示例所示使用 -i -M：

如 audit2allow 命令所示，您现在可按以下方式运行此模块：使用 semodule -i 命令，后接 audit2allow 为您创建的模块的名称（在上例中为 example.pp）。