AppArmor 配置文件应用于可执行程序；如果程序的某一部分需要与其他部分不同的访问权限，则该程序可以通过 change_hat 切换到不同的角色，也称为子配置文件。 pam_apparmor PAM 模块允许应用程序根据组名、用户名或默认配置文件将经过身份验证的用户限制到子配置文件中。为此，需要将 pam_apparmor 注册为 PAM 会话模块。

默认情况下未安装 pam_apparmor 包，可以使用 YaST 或 zypper 进行安装。在安装软件包后，可以在 /usr/share/doc/packages/pam_apparmor/README 中找到有关设置和配置 pam_apparmor 的详细信息。有关 PAM 的详细信息，请参阅 第 2 章，使用 PAM 进行身份验证。