这为所选程序或应用程序创建了一个近似配置文件。您可以为二进制可执行文件和解释型脚本程序生成近似配置文件。生成的配置文件称为““近似””，因为它不一定包含程序正确受 AppArmor 限制所需的所有配置文件条目。最小的 aa-autodep 近似配置文件至少包含一个基本包含指令，其中包含大多数程序所需的基本配置文件条目。对于某些类型的程序，aa-autodep 生成更扩展的配置文件。配置文件是通过递归调用命令行上列出的可执行文件上的 ldd(1) 生成的。

要生成近似配置文件，请使用 aa-autodep 程序。程序参数可以是程序的简单名称，aa-autodep 通过搜索您的 shell 的路径变量找到该名称，也可以是完全限定的路径。程序本身可以是任何类型（ELF 二进制文件、shell 脚本、Perl 脚本等）。aa-autodep 生成一个近似配置文件，以通过后续的动态分析进行改进。

生成的近似配置文件将使用 AppArmor 配置文件命名约定写入到 /etc/apparmor.d 目录中，即以程序的绝对路径命名配置文件，并将路径中的斜杠 (/) 字符替换为句点 (.) 字符。 aa-autodep 的一般语法是在终端窗口中输入以下内容

> sudo aa-autodep [ -d /PATH/TO/PROFILES ] [PROGRAM1 PROGRAM2...]

如果您未输入程序名称或名称，系统将提示您输入它们。/path/to/profiles 覆盖默认位置 /etc/apparmor.d，如果您将配置文件保存在默认位置以外的位置，则应这样做。

要开始分析，您必须为应用程序的每个主要可执行服务创建配置文件（任何可能在没有已经具有配置文件的程序的子程序的情况下启动的服务）。找到所有此类程序取决于应用程序。以下是一些查找此类程序的策略

抱怨或学习模式工具 (aa-complain) 检测 AppArmor 配置文件规则的违规行为，例如配置文件程序访问配置文件不允许的文件。允许违规行为，但也会记录下来。为了改进配置文件，请打开抱怨模式，通过一系列测试运行程序以生成描述程序访问需求的日志事件，然后使用 AppArmor 工具后处理日志以将日志事件转换为改进的配置文件。

手动激活抱怨模式（使用命令行）会在配置文件的顶部添加一个标志，因此 /bin/foo 变为 /bin/foo flags=(complain)。要使用抱怨模式，请打开一个终端窗口并输入以下行之一作为 root

上述每个命令都会为列出的配置文件或程序激活抱怨模式。如果程序名称不包含其完整路径，aa-complain 会在 $PATH 中搜索该程序。例如，aa-complain /usr/sbin/* 查找与 /usr/sbin 中的所有程序关联的配置文件，并将它们置于抱怨模式。 aa-complain /etc/apparmor.d/* 将 /etc/apparmor.d 中的所有配置文件置于抱怨模式。

提示：使用 YaST 切换配置文件模式

YaST 提供了一个图形前端，用于切换抱怨和强制模式。有关信息，请参阅 第 32.4.2 节，“更改单个配置文件的模式”。

aa-decode 解码 AppArmor 日志输出中的十六进制编码字符串。它还可以处理标准输入上的审核日志，转换任何十六进制编码的 AppArmor 日志条目，并在标准输出上显示它们。

使用 aa-disable 禁用一个或多个 AppArmor 配置文件的强制模式。此命令从内核中卸载配置文件，并防止在 AppArmor 启动时加载配置文件。使用 aa-enforce 或 aa-complain 实用程序更改此行为。

aa-easyprof 提供了一个易于使用的 AppArmor 配置文件生成界面。 aa-easyprof 支持使用模板和配置文件组来快速分析应用程序。虽然 aa-easyprof 可以帮助生成配置文件，但其实用性取决于所使用的模板、配置文件组和抽象的质量。此外，此工具可能会创建一个比手动创建配置文件或使用 aa-genprof 和 aa-logprof 创建的配置文件限制更少的配置文件。

有关更多信息，请参阅 aa-easyprof (8) 的手册页。

强制模式检测 AppArmor 配置文件规则的违规行为，例如配置文件程序访问配置文件不允许的文件。记录违规行为，但不允许。默认情况下，强制模式处于启用状态。要记录违规行为，但仍然允许它们，请使用抱怨模式。

手动激活强制模式（使用命令行）会删除配置文件的顶部上的抱怨标志，因此 /bin/foo flags=(complain) 变为 /bin/foo。要使用强制模式，请打开一个终端窗口并输入以下行之一。

上述每个命令都会为列出的配置文件和程序激活强制模式。

如果您未输入程序或配置文件名称，系统将提示您输入一个。 /path/to/profiles 覆盖默认位置 /etc/apparmor.d。

参数可以是程序列表或配置文件列表。如果程序名称不包含其完整路径，aa-enforce 会在 $PATH 中搜索该程序。

提示：使用 YaST 切换配置文件模式

YaST 提供了一个图形前端，用于切换抱怨和强制模式。有关信息，请参阅 第 32.4.2 节，“更改单个配置文件的模式”。

使用 aa-exec 启动受指定配置文件和/或配置文件命名空间限制的程序。如果同时指定了配置文件和命名空间，则程序受新命名空间中的配置文件限制。如果指定了配置文件命名空间，则使用当前限制的配置文件名称。如果未指定配置文件或命名空间，则命令使用标准的配置文件附加方式运行——就像您没有使用 aa-exec 命令一样。

有关命令选项的更多信息，请参阅其手册页 man 8 aa-exec。

aa-genprof 是 AppArmor 的概要文件生成工具。它在指定程序上运行 aa-autodep，创建近似的概要文件（如果尚未为其存在概要文件），将其设置为抱怨模式，将其重新加载到 AppArmor，标记日志，并提示用户执行程序并执行其功能。其语法如下

> sudo aa-genprof [ -d /path/to/profiles ]  PROGRAM

要为 Apache Web 服务器程序 httpd2-prefork 创建概要文件，请以 root 用户身份执行以下操作

与用于构建 AppArmor 概要文件的图形前端 YaST 添加概要文件向导一样，aa-genprof 还支持使用位于 /usr/share/apparmor/extra-profiles 下的本地概要文件存储库。

要使用本地存储库中的概要文件，请按以下步骤操作

aa-logprof 是一个交互式工具，用于查看在 /var/log/audit/audit.log 中的日志条目或直接在 systemd 日志（请参阅 “参考”手册，第 11 章“journalctl：查询 systemd 日志”）中找到的抱怨和强制模式事件，并生成 AppArmor 安全概要文件中的新条目。

当您运行 aa-logprof 时，它开始扫描在抱怨和强制模式下生成的日志文件，如果存在未被现有概要文件集覆盖的新安全事件，它会提供修改概要文件的建议。aa-logprof 使用此信息来观察程序行为。

如果受限制的程序分叉并执行另一个程序，aa-logprof 会看到这一点，并询问用户在启动子进程时应使用哪种执行模式。执行模式 ix、px、Px、ux、Ux、cx、Cx 和命名概要文件是启动子进程的选项。如果子进程有单独的概要文件，则默认选择 Px。如果不存在，则概要文件默认为 ix。具有单独概要文件的子进程会运行 aa-autodep，并在 AppArmor 运行时将其加载到 AppArmor 中。

当 aa-logprof 退出时，概要文件将使用更改进行更新。如果 AppArmor 处于活动状态，则重新加载更新的概要文件，如果仍然有生成安全事件的进程在 null-XXXX 概要文件（在抱怨模式下临时创建的唯一概要文件）中运行，则这些进程将设置为在其正确的概要文件中运行。

要运行 aa-logprof，请输入 aa-logprof 到以 root 用户身份登录的终端窗口中。以下选项可用于 aa-logprof

aa-logprof 扫描日志，询问您如何处理每个记录的事件。每个问题都呈现一个编号的 AppArmor 规则列表，可以通过按列表中的项目编号来添加。

默认情况下，aa-logprof 在 /etc/apparmor.d/ 中查找配置文件。通常，以 root 身份运行 aa-logprof 足以更新配置文件。但是，有时您需要搜索归档的日志文件，例如如果程序的运行周期超过了日志轮换窗口（日志文件被归档并启动新的日志文件）。如果是这种情况，您可以输入 zcat -f `ls -1tr /path/to/logfile*` | aa-logprof -f -。

以下是 aa-logprof 处理 httpd2-prefork 访问文件 /etc/group 的示例。 [] 表示默认选项。

在此示例中，访问 /etc/group 是 httpd2-prefork 访问名称服务的一部分。适当的响应是 1，它包含一组预定义的 AppArmor 规则。选择 1 以 #include 名称服务包可以解决所有与 DNS 查找相关的未来问题，并使配置文件在 DNS 配置和相关的名称服务配置文件包发生更改时不易出错，而无需修改许多配置文件。

Profile:  /usr/sbin/httpd2-prefork
Path:     /etc/group
New Mode: r

[1 - #include <abstractions/nameservice>]
 2 - /etc/group
[(A)llow] / (D)eny / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

选择以下响应之一

例如，在分析 vsftpd 时，请参见此问题

Profile:  /usr/sbin/vsftpd
Path:     /y2k.jpg

New Mode: r

[1 - /y2k.jpg]

(A)llow / [(D)eny] / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

此问题中出现了一些有趣的条目。首先，vsftpd 正在请求树顶部的路径条目，即使在 openSUSE Leap 上，vsftpd 默认情况下从 /srv/ftp 提供 FTP 文件。这是因为 vsftpd 使用 chroot，并且对于代码中 chroot 监狱内的部分，AppArmor 会看到有关 chroot 环境的文件访问，而不是全局绝对路径。

另一个有趣的条目是，您应该授予 FTP 对目录中所有 JPEG 文件的读取访问权限，因此您可以使用 Glob w/Ext 并使用建议的路径 /*.jpg。这样做会将所有先前授予访问单个 .jpg 文件的规则合并，并防止将来出现与访问 .jpg 文件相关的任何问题。

最后，您应该授予对 FTP 文件的更常规访问权限。如果您选择最后一个条目的 Glob，aa-logprof 会将建议的路径 /y2k.jpg 替换为 /*。或者，您应该授予对整个目录树的更多访问权限，在这种情况下，您可以使用 New 路径选项并输入 /**.jpg（这将授予对整个目录树中所有 .jpg 文件的访问权限）或 /**（这将授予对目录树中所有文件的访问权限）。

这些条目处理读取访问。写入访问类似，只是在对写入访问使用正则表达式时，最好保持保守。处理执行访问更为复杂。请参阅 示例 33.1，“学习模式异常：控制对特定资源的访问” 中的一个示例。

在以下示例中，正在分析 /usr/bin/mail 邮件客户端，并且 aa-logprof 发现 /usr/bin/mail 执行 /usr/bin/less 作为辅助应用程序来 “分页” 较长的邮件消息。因此，它会呈现此提示

/usr/bin/nail -> /usr/bin/less
(I)nherit / (P)rofile / (C)hild / (N)ame / (U)nconfined / (X)ix / (D)eny

注意

实际上，/usr/bin/mail 的可执行文件是 /usr/bin/nail，这并非笔误。

程序 /usr/bin/less 似乎是一个用于滚动超过一个屏幕长度的文本的简单程序，而这正是 /usr/bin/mail 使用它的原因。但是，less 实际上是一个大型且功能强大的程序，它使用许多其他辅助应用程序，例如 tar 和 rpm。

提示

在 tar 文件或 RPM 文件上运行 less 会显示这些容器的清单。

您不希望在读取邮件消息时自动运行 rpm（这会导致类似于 Microsoft* Outlook 风格的病毒攻击，因为 RPM 具有安装和修改系统程序的能力），因此，在这种情况下，最佳选择是使用 Inherit。这将导致从该上下文中执行的 less 程序在 /usr/bin/mail 的配置文件下运行。这有两个后果

在其他情况下，您可能希望使用 Profile 选项。这会对 aa-logprof 产生以下影响

如果受限制的程序派生并执行另一个程序，aa-logprof 会看到这一点，并询问用户应使用哪种执行模式来启动子进程。将呈现继承、配置文件、未限制、子进程、命名配置文件或拒绝执行的选项。

如果子进程存在单独的配置文件，则默认选择为配置文件。如果不存在配置文件，则默认值为继承。继承选项，或 ix，在 第 30.7 节，“文件权限访问模式” 中描述。

配置文件选项表示子程序应在其自己的配置文件中运行。第二个问题询问是否要清理子程序从父程序继承的环境。如果您选择清理环境，这会将执行修饰符 Px 放入您的 AppArmor 配置文件中。如果您选择不清理，则将 px 放入配置文件中，并且不会进行环境清理。如果您选择配置文件执行模式，则默认值为 Px。

不建议使用未限制的执行模式，并且应仅在没有其他可靠地为程序生成配置文件的选项时使用。选择未限制会打开一个警告对话框，要求确认该选择。如果您确定并选择 Yes，第二个对话框会询问是否要清理环境。要在您的配置文件中使用执行模式 Ux，请选择 Yes。要使用执行模式 ux 代替，请选择 No。未限制执行模式的默认值为 Ux。

重要：运行未限制

选择 ux 或 Ux 是危险的，并且不提供对由此产生的子程序执行行为的策略执行（从安全角度来看）。

命令 aa-unconfined 检查系统上的开放网络端口，将其与系统上加载的配置文件集进行比较，并报告没有 AppArmor 配置文件的网络服务。它需要 root 权限，并且不能受 AppArmor 配置文件的限制。

aa-unconfined 必须以 root 身份运行才能从 /proc 文件系统检索进程可执行链接。该程序容易受到以下竞态条件的影响

注意

该程序列出了使用 TCP 和 UDP 的进程。简而言之，该程序不适合取证用途，而是作为辅助工具，用于在实验室中分析所有可访问网络的进程。

aa-notify 是一个方便的实用程序，可在您的桌面环境中显示 AppArmor 通知。如果您不想检查 AppArmor 日志文件，而是让桌面通知您有关违反策略的事件，这将非常方便。要启用 AppArmor 桌面通知，请运行 aa-notify

> sudo aa-notify -p -u USERNAME --display DISPLAY_NUMBER

其中 USERNAME 是您登录的用户名，DISPLAY_NUMBER 是您当前使用的 X Window 显示编号，例如 :0。该进程在后台运行，并在发生拒绝事件时显示通知。

提示

活动 X Window 显示编号保存在 $DISPLAY 变量中，因此您可以使用 --display $DISPLAY 来避免找出当前显示编号。

图 33.1：aa-notify Message in GNOME #

使用 -s DAYS 选项，您还可以配置 aa-notify 以显示过去指定天数的通知摘要。有关 aa-notify 的更多信息，请参阅其手册页 man 8 aa-notify。

vim 文本编辑器的语法高亮文件使用颜色突出显示 AppArmor 配置文件的各种功能。使用 vim 和 vim 的 AppArmor 语法模式，您可以使用颜色高亮显示查看配置文件的语义含义。在终端窗口中键入 vim 以查看和编辑您的配置文件。

要在 vim 中编辑 AppArmor 配置文件时启用语法着色，请使用命令 :syntax on 然后 :set syntax=apparmor。为了确保 vim 正确识别编辑的文件类型为 AppArmor 配置文件，请添加

# vim:ft=apparmor

到配置文件的末尾。

提示

vim 自动为 /etc/apparmor.d/ 中的文件启用 AppArmor 高亮显示。

启用此功能后，vim 会为您对配置文件的行进行着色

使用 apparmor.vim 和 vim 手册页以及 vim 编辑器中的 :help syntax 以获取有关语法高亮的更多 vim 帮助。 AppArmor 语法存储在 /usr/share/vim/current/syntax/apparmor.vim.