Apparmor 未从内核 LSM 错误开始 [关闭]

Question

Ahmet Sait

Asked: 2025-02-12 17:37:36 +0800 CST2025-02-12 17:37:36 +0800 CST 2025-02-12 17:37:36 +0800 CST

是否可以在没有“flags=(unconfined)”的情况下授予 AppArmor 配置文件“userns”权限？

基本上就是标题。

我尝试添加userns到 AppArmor 配置文件，但没有标志它似乎不起作用unconfined。

那么，在没有的情况下我可以使以下配置文件工作吗flags=(unconfined)？如果不行，为什么？

abi <abi/4.0>,
include <tunables/global>

profile my-app /usr/lib/my-app/app flags=(unconfined) {
    userns,
}

Ahmet Sait · Answer 1 · 2025-02-13T06:00:37+08:00

Best Answer

Ahmet Sait

我之前认为它不起作用的假设userns是错误的。我能够使用附带的 AppArmor 配置文件来控制一个小型测试 C 程序的用户命名空间权限。

我认为它不起作用，因为Firefox 一直在抱怨安全功能，除非unconfined使用标志。