Trabajar con perfiles de AppArmor en Debian y Ubuntu: estado, modo complain y overrides locales

Objetivo

Diagnosticar por qué AppArmor bloquea una acción legítima, relajar de forma temporal únicamente ese perfil y añadir una excepción permanente que resista las actualizaciones.

Requisitos previos

Tener instalado apparmor-utils para aa-status, aa-complain y aa-enforce (Debian 12/13 y Ubuntu 22.04/24.04 lo incluyen), acceso de root y acceso al journal de systemd.

Pasos

1. Consulta qué hay cargado: aa-status. La página del manual lo describe como una herramienta que informa del estado actual del confinamiento de AppArmor y que, entre otros recuentos, "displays the number of loaded AppArmor policies" (muestra el número de políticas de AppArmor cargadas), desglosadas por modo enforce y complain.
2. Busca denegaciones en el journal: journalctl -k | grep -i apparmor (o busca apparmor="DENIED"). Ahí aparecen el nombre del perfil, la operación y la ruta bloqueada.
3. Si se deniega una acción legítima, pon solo ese perfil en modo complain en lugar de desactivar AppArmor por completo: aa-complain /path/to/binary (o un nombre de perfil). La documentación de aa-complain indica que establece "an AppArmor security profile to complain mode" (un perfil de seguridad de AppArmor en modo complain), en el que las infracciones se registran pero no se bloquean.
4. Reproduce la acción, comprueba que ahora funciona y lee las nuevas entradas de denegación de journalctl para ver exactamente qué permiso (ruta, capability) faltaba.
5. Añade el permiso que faltaba como override local en lugar de editar directamente el perfil que viene con el paquete: crea o edita el archivo correspondiente en /etc/apparmor.d/local/. La documentación de Ubuntu Server señala que este directorio contiene archivos "for the packages that are known to sometimes need slight tweaks" (para los paquetes que, según se sabe, a veces necesitan pequeños ajustes), y que se conserva cuando una actualización de paquete sustituye el perfil principal.
6. Recarga el perfil (apparmor_parser -r /etc/apparmor.d/<profile>) y devuélvelo al modo de bloqueo: aa-enforce /path/to/binary, que "set[s] an AppArmor security profile to enforce mode" (establece un perfil de seguridad de AppArmor en modo enforce).
7. Vuelve a ejecutar aa-status para confirmar que el perfil figura de nuevo en modo enforce y repite el paso 2 para comprobar que no aparecen nuevas denegaciones.

Resultado esperado

aa-status muestra el perfil otra vez en modo enforce, y el journal no registra más entradas DENIED para la acción que antes se bloqueaba.

Límites y base de verificación

Dejar un perfil en modo complain es un estado de diagnóstico temporal, no una solución: registra las infracciones sin impedirlas. No hace falta reiniciar; apparmor_parser -r recarga un único perfil de inmediato. Para deshacer todo el cambio, elimina el archivo de override local y vuelve a recargar el perfil.