Gérer les profils AppArmor sous Debian et Ubuntu : état, mode complain et surcharges locales

Objectif

Diagnostiquer pourquoi AppArmor bloque une action légitime, assouplir temporairement ce seul profil, puis ajouter une exception permanente qui résiste aux mises à jour.

Prérequis

Le paquet apparmor-utils doit être installé pour disposer de aa-status, aa-complain et aa-enforce (Debian 12/13 et Ubuntu 22.04/24.04 le fournissent tous). Il faut également un accès root et un accès au journal systemd.

Étapes

1. Afficher ce qui est chargé : aa-status. La page de manuel le décrit comme un outil qui rapporte l'état actuel du confinement AppArmor et qui, entre autres compteurs, « displays the number of loaded AppArmor policies » (affiche le nombre de politiques AppArmor chargées), ventilé entre mode enforce et mode complain.
2. Rechercher les refus dans le journal : journalctl -k | grep -i apparmor (ou chercher apparmor="DENIED"). La sortie indique le nom du profil, l'opération et le chemin bloqué.
3. Si une action légitime est refusée, faire passer ce seul profil en mode complain plutôt que de désactiver AppArmor entièrement : aa-complain /path/to/binary (ou un nom de profil). La documentation de aa-complain précise qu'il place « an AppArmor security profile to complain mode » (un profil de sécurité AppArmor en mode complain), dans lequel les violations sont journalisées mais pas bloquées.
4. Reproduire l'action, vérifier qu'elle fonctionne désormais, puis lire les nouvelles entrées de refus dans journalctl pour voir précisément quelle permission (chemin, capability) manquait.
5. Ajouter la permission manquante sous forme de surcharge locale, plutôt que de modifier directement le profil fourni : créer ou modifier le fichier correspondant dans /etc/apparmor.d/local/. La documentation serveur d'Ubuntu indique que ce répertoire contient des fichiers « for the packages that are known to sometimes need slight tweaks » (pour les paquets dont on sait qu'ils nécessitent parfois de légers ajustements) et qu'il survit aux mises à jour de paquets qui remplacent le profil principal.
6. Recharger le profil (apparmor_parser -r /etc/apparmor.d/<profile>) et le remettre en mode blocage : aa-enforce /path/to/binary, qui « set[s] an AppArmor security profile to enforce mode » (place un profil de sécurité AppArmor en mode enforce).
7. Relancer aa-status pour confirmer que le profil figure de nouveau parmi ceux en mode enforce, puis répéter l'étape 2 pour vérifier qu'aucun nouveau refus n'apparaît.

Résultat attendu

aa-status montre le profil de nouveau en mode enforce, et le journal ne contient plus d'entrées DENIED pour l'action précédemment bloquée.

Limites et base de vérification

Laisser un profil en mode complain est un état de diagnostic temporaire et non une correction : les violations sont journalisées, mais rien ne les empêche. Aucun redémarrage n'est nécessaire ; apparmor_parser -r recharge immédiatement un seul profil. Pour annuler complètement la modification, supprimer le fichier de surcharge locale et recharger à nouveau le profil.