Início / unix / Perguntas / 445773
Accepted
Stefan
Asked: 2018-05-25 06:44:19 +0800 CST

Como ensinar ao AppArmor sobre links simbólicos de nível superior

  • 772

Eu tenho minha partição "raiz" dividida em duas: uma normal que contém a maioria dos arquivos e uma segunda usada para as áreas que podem "crescer". Concretamente, isso significa que tenho links simbólicos como:

/var/log   -> /part1/log
/var/cache -> /part1/cache
/var/spool -> /part1/spool

Isso funcionou bem até que comecei a usar o AppArmor, que fica reclamando de coisas como cupsd olhando arquivos em /part1/log/cups/..

Atualmente, contorno esse problema adicionando entradas para cada aplicativo protegido pelo AppArmor, mas isso é tedioso.

Existe alguma maneira de dizer ao AppArmor de uma vez por todas que, se o acesso /var/log/FOOfor permitido, o acesso /part1/log/FOOtambém deve ser permitido?

symlink apparmor

2 respostas

  1. Best Answer

    Pode ser feito da /etc/apparmor.d/tunables/aliasseguinte forma:

    # Alias rules can be used to rewrite paths and are done after variable
# resolution. For example, if '/usr' is on removable media:
# alias /usr/ -> /mnt/usr/,
#
# Or if mysql databases are stored in /home:
# alias /var/lib/mysql/ -> /home/mysql/,

/var/log   -> /part1/log,
/var/cache -> /part1/cache,
/var/spool -> /part1/spool,

    Veja também:

    • 2

  2. A única solução sem alterar sua configuração é editar todos os perfis para apontar para os novos locais. Isso pode ser feito com correspondência de padrões seguida de revisão cuidadosa. Também provavelmente tornará as atualizações mais complicadas, já que você terá que aplicar continuamente essas alterações.

    A solução mais simples seria usar montagens de ligação para esses diretórios.

    Adicionar o seguinte /etc/fstabdeve ser suficiente para substituir os links simbólicos:

    /var/log /part1/log none defaults,bind 0 0
/var/cache /part1/cache none defaults,bind 0 0
/var/spool /part1/spool none defaults,bind 0 0

    Certifique-se de que essas linhas venham após a /part1montagem.

    • 0

relate perguntas