AppArmor-Profile unter Debian und Ubuntu verwalten: Status, Complain-Modus und lokale Overrides

Ziel

Ursache ermitteln, warum AppArmor eine legitime Aktion blockiert, nur das betroffene Profil vorübergehend lockern und eine dauerhafte, upgradesichere Ausnahme hinzufügen.

Voraussetzungen

apparmor-utils ist installiert (für aa-status, aa-complain und aa-enforce; Debian 12/13 und Ubuntu 22.04/24.04 liefern das Paket alle mit); Root-Zugriff; Zugriff auf das systemd-Journal.

Schritte

1. Geladene Profile anzeigen: aa-status. Laut Manpage meldet das Programm den aktuellen Zustand der AppArmor-Einschränkungen und "displays the number of loaded AppArmor policies" (zeigt unter anderem die Anzahl geladener AppArmor-Policies), aufgeschlüsselt nach Enforce- und Complain-Modus.
2. Denials im Journal suchen: journalctl -k | grep -i apparmor (oder nach apparmor="DENIED" suchen). Die Einträge nennen Profilname, Operation und den blockierten Pfad.
3. Wird eine legitime Aktion abgelehnt, nur dieses eine Profil in den Complain-Modus versetzen, statt AppArmor vollständig zu deaktivieren: aa-complain /path/to/binary (oder ein Profilname). aa-complain ist dokumentiert als Werkzeug, das "an AppArmor security profile to complain mode" setzt; Verstösse werden dabei protokolliert, aber nicht blockiert.
4. Die Aktion erneut ausführen, prüfen, dass sie nun funktioniert, und die neuen journalctl-Denial-Einträge lesen, um zu sehen, welche Berechtigung (Pfad, Capability) genau fehlte.
5. Die fehlende Berechtigung als lokalen Override ergänzen, statt das mitgelieferte Profil direkt zu ändern: die passende Datei unter /etc/apparmor.d/local/ anlegen oder bearbeiten. Laut der Server-Dokumentation von Ubuntu enthält dieses Verzeichnis Dateien "for the packages that are known to sometimes need slight tweaks" (für Pakete, die bekanntermassen manchmal kleine Anpassungen benötigen); es bleibt bei Paket-Upgrades erhalten, die das Hauptprofil ersetzen.
6. Das Profil neu laden (apparmor_parser -r /etc/apparmor.d/<profile>) und wieder in den blockierenden Modus versetzen: aa-enforce /path/to/binary, was "set[s] an AppArmor security profile to enforce mode" bewirkt.
7. Erneut aa-status ausführen, um zu bestätigen, dass das Profil wieder unter dem Enforce-Modus aufgeführt ist, und Schritt 2 wiederholen, um sicherzustellen, dass keine neuen Denials auftreten.

Erwartetes Ergebnis

aa-status zeigt das Profil wieder im Enforce-Modus, und das Journal enthält keine weiteren DENIED-Einträge für die zuvor blockierte Aktion.

Grenzen und Prüfbasis

Ein Profil im Complain-Modus zu belassen, ist nur ein vorübergehender Diagnosezustand und keine Lösung: Verstösse werden protokolliert, aber nicht verhindert. Ein Neustart ist nicht nötig; apparmor_parser -r lädt ein einzelnes Profil sofort neu. Um die Änderung vollständig rückgängig zu machen, die lokale Override-Datei entfernen und das Profil erneut laden.