主页 / unix / 问题

问题[apparmor](unix)

Martin Hope
E235
Asked: 2019-01-31 00:23:17 +0800 CST
  • 0

我有 Ubuntu 16.04，最近我重新安装了 AppArmor： 

sudo rm -rf /etc/apparmor*
sudo apt-get install apparmor --reinstall
sudo service apparmor restart

当我尝试解析配置文件时apparmor_praser出现错误：

第 1 行 my.profile 中 my.profile 的 AppArmor 解析器错误：无法打开“可调参数/全局”

我检查了我的 ApprAmor 文件夹，发现它缺少一些文件： 

root@ubuntu:/etc/apparmor.d# ls ./tunables/
home.d  multiarch.d  xdg-user-dirs.d

虽然，在我删除文件之前，我有这些文件： 

root@ubuntu:~# ls /etc/apparmor.d/tunables/
alias  apparmorfs  dovecot  global  home  home.d  kernelvars  multiarch  multiarch.d  proc  securityfs  sys  xdg-user-dirs  xdg-user-dirs.d

似乎安装没有安装所有依赖库。
我也试过这些： 

apt-get install apparmor-utils apparmor-easyprof apparmor-easyprof-ubuntu

但是我仍然没有重要文件，例如tunables/global.

知道如何在 Ubuntu 默认安装中重新安装 AppArmor 吗？

apparmor
Martin Hope
dippynark
Asked: 2018-11-20 02:03:18 +0800 CST
  • 0

AppArmor 配置文件可以通过哪些方式与进程匹配？一个似乎是基于路径的（例如，/sbin/dhclient配置文件在/sbin/dhclient执行时应用）但这是由于/sbin/dhclient出现在sbin.dhclient配置文件中还是因为sbin.dhclient命名方式？

此外，对于非基于路径的配置文件匹配（例如，对于docker-default配置文件），AppArmor 如何告知将配置文件应用到哪些进程？

apparmor
Martin Hope
Stefan
Asked: 2018-05-25 06:44:19 +0800 CST
  • 5

我将我的“根”分区分成两部分：一个包含大多数文件的普通分区，另一个用于那些可以“增长”的区域。具体来说，这意味着，我有如下符号链接：

/var/log   -> /part1/log
/var/cache -> /part1/cache
/var/spool -> /part1/spool

这一直很好，直到我开始使用 AppArmor，它一直抱怨诸如 cupsd 正在查看 /part1/log/cups/.. 中的文件之类的事情。

我目前通过为受 AppArmor 保护的每个应用程序添加条目来解决此问题，但这很乏味。

有什么方法可以一劳永逸地告诉 AppArmor，如果/var/log/FOO允许访问，/part1/log/FOO那么也应该允许访问？

symlink apparmor
Martin Hope
Alexey Miller
Asked: 2018-03-24 05:23:30 +0800 CST
  • 1

我有安装了 proxmox 5 的家庭服务器和 docker 容器中的一些服务。直到昨天一切都很好。

我重新启动了服务器，所有容器中的所有服务都无法绑定套接字，因为权限被拒绝。我很沮丧...

这里有一些技术细节

Linux server 4.10.15-1-pve #1 SMP PVE 4.10.15-15 (Fri, 23 Jun 2017 08:57:55 +0200) x86_64 GNU/Linux

Docker version 18.03.0-ce, build 0520e24
docker-compose version 1.20.1, build 5d8c71b

球童 docker-compose.yml

version: '2'
services:
  caddy:
    container_name: caddy
    image: zzrot/alpine-caddy:latest
    restart: unless-stopped
    network_mode: "host"
    environment:
      - PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    hostname: caddy
    volumes:
      - /etc/localtime:/etc/localtime:ro
      - /mirror/config/caddy-config/certs:/root/.caddy
      - /mirror/config/caddy-config/caddy:/etc/Caddyfile

码头工人组成输出

root@server:~/compose/caddy# docker-compose up
Creating caddy ... done
Attaching to caddy
caddy    | Activating privacy features... done.
caddy    | 2018/03/23 19:55:21 listen tcp :443: socket: permission denied
caddy exited with code 1

mariadb docker-compose.yml

version: '3.1'
services:
  mariadb:
    container_name: mariadb
    image: mariadb
    restart: always
    ports:
      - 3306:3306/udp
      - 3306:3306/tcp
    environment:
      - PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
      - MYSQL_ROOT_PASSWORD=password
    hostname: mariadb
    volumes:
      - /mirror/config/mariadb-config/databases:/var/lib/mysql
      - /mirror/config/custom.cnf:/etc/mysql/conf.d/config-file.cnf
      - /mirror/config/logs:/config/logs

码头工人组成输出

mariadb_1  | 2018-03-23 13:20:36 139659836417920 [Warning] Failed to create a socket for IPv6 '::': errno: 13.
mariadb_1  | 2018-03-23 13:20:36 139659836417920 [Warning] Failed to create a socket for IPv4 '0.0.0.0': errno: 13.
mariadb_1  | 2018-03-23 13:20:36 139659836417920 [ERROR] Can't create IP socket: Permission denied
mariadb_1  | 2018-03-23 13:20:36 139659836417920 [ERROR] Aborting
mariadb_1  |
mariadb_mariadb_1 exited with code 1

这可能是什么原因？

更新：一些新的细节

kernel: audit: type=1400 audit(1521896913.536:10071): apparmor="DENIED" operation="create" profile="docker-default" pid=16502 comm="mysqld" family="inet" sock_type="dgram" protocol=0 requested_mask="create" denied_

audit[16271]: AVC apparmor="DENIED" operation="create" profile="docker-default" pid=16271 comm="caddy" family="inet" sock_type="dgram" protocol=0 requested_mask="create" denied_mask="create"
docker apparmor