Что ограничивает профиль

AppArmor реализует mandatory access control поверх обычных прав Unix. Владелец файла и его mode bits по-прежнему важны, но профиль программы добавляет собственные правила: к каким путям процесс обращается, какие capabilities ему разрешены и какие сетевые действия допустимы.

Профили обычно привязаны к executable. Один и тот же пользователь может запускать разные приложения, а каждое из них получит свои ограничения. Это отличается от прав владельца файла, которые применяются к пользователю и группе, а не к конкретной программе.

Режимы complain и enforce

В complain-mode нарушение записывается в журнал, но действие не блокируется. Это помогает проверить профиль перед включением ограничений, однако не защищает сервис от того обращения, которое профиль должен был запретить.

Enforce-mode применяет правила: запрещенное действие блокируется, а событие журналируется. Перед включением проработайте обычные задачи приложения: старт, чтение конфигурации, запись данных, reload, обслуживание и резервное копирование. Иначе ошибка может проявиться только после первого редкого сценария.

Как посмотреть состояние

В Ubuntu 24.04 и новее AppArmor встроен в ядро. Статус профиля все равно проверьте.

В Ubuntu статус профилей показывает aa-status или apparmor_status, если установлены соответствующие утилиты. Каталог профилей обычно находится в /etc/apparmor.d/. Проверяйте состояние конкретной программы и журнал audit/system log, а не ограничивайтесь тем, что служба AppArmor запущена.

Профиль можно перевести между режимами, но сначала сохраните текущий файл и посмотрите, какие нарушения уже записываются. aa-complain и aa-enforce меняют поведение процесса; это не косметическая настройка. После редактирования профиль надо загрузить заново, затем повторно прогнать рабочие сценарии.

Если после включения enforce приложение перестало читать данные, не отключайте модуль целиком на всех процессах. Найдите точное событие DENIED, сопоставьте путь и capability с задачей приложения и разрешайте только необходимое. Добавление слишком широкой маски сводит смысл ограничения на нет.

AppArmor дополняет, но не заменяет обновления, firewall, управление учетными записями или резервирование. Для соседних механизмов смотрите seccomp, Linux capabilities и namespaces. Режимы сверены по Ubuntu AppArmor guide и manpage 8 октября 2026 года; профиль конкретного сервера не менялся.