Trabalhando com perfis AppArmor no Debian e no Ubuntu: status, modo complain e overrides locais

Objetivo

Diagnosticar por que o AppArmor está bloqueando uma ação legítima, afrouxar temporariamente apenas esse perfil e adicionar uma exceção permanente que resista a atualizações.

Pré-requisitos

apparmor-utils instalado, para ter aa-status/aa-complain/aa-enforce (Debian 12/13 e Ubuntu 22.04/24.04 o fornecem, todos eles); acesso root; acesso ao journal do systemd.

Passos

1. Veja o que está carregado: aa-status. A página de manual o descreve como um comando que informa o estado atual do confinamento do AppArmor e, entre outras contagens, "displays the number of loaded AppArmor policies" (exibe o número de políticas AppArmor carregadas), separadas por modo enforce e modo complain.
2. Procure negações (denials) no journal: journalctl -k | grep -i apparmor (ou busque por apparmor="DENIED"). A saída mostra o nome do perfil, a operação e o caminho que foi bloqueado.
3. Se uma ação legítima estiver sendo negada, coloque somente esse perfil em modo complain, em vez de desativar o AppArmor por completo: aa-complain /path/to/binary (ou um nome de perfil). A documentação do aa-complain diz que ele define "an AppArmor security profile to complain mode" (um perfil de segurança do AppArmor para o modo complain), em que as violações são registradas, mas não bloqueadas.
4. Reproduza a ação, confirme que agora ela funciona e leia as novas entradas de negação no journalctl para ver exatamente qual permissão (caminho, capability) estava faltando.
5. Adicione a permissão ausente como um override local, em vez de editar diretamente o perfil fornecido pelo pacote: crie ou edite o arquivo correspondente em /etc/apparmor.d/local/. A documentação de servidor do Ubuntu observa que esse diretório contém arquivos "for the packages that are known to sometimes need slight tweaks" (para os pacotes que, sabidamente, às vezes precisam de pequenos ajustes) e que ele sobrevive às atualizações de pacote que substituem o perfil principal.
6. Recarregue o perfil (apparmor_parser -r /etc/apparmor.d/<profile>) e devolva-o ao modo de bloqueio: aa-enforce /path/to/binary, que "set[s] an AppArmor security profile to enforce mode" (define um perfil de segurança do AppArmor para o modo enforce).
7. Execute aa-status novamente para confirmar que o perfil volta a aparecer no modo enforce e repita o passo 2 para confirmar que não surgem novas negações.

Resultado esperado

O aa-status mostra o perfil de volta ao modo enforce, e o journal não registra mais entradas DENIED para a ação que antes era bloqueada.

Limites e base de verificação

Deixar um perfil em modo complain é um estado temporário de diagnóstico, não uma correção: ele registra as violações sem impedi-las. Não é necessário reiniciar; apparmor_parser -r recarrega imediatamente um único perfil. Para desfazer tudo, remova o arquivo de override local e recarregue o perfil novamente.