AppArmor: когда доступ запрещает профиль

Отказ записан в журнал ядра. Строка apparmor="DENIED" называет профиль, действие и путь (все поля):

apparmor="DENIED" operation="open" requested_mask="r"
profile="/usr/local/bin/docsrv"
name="/srv/docs/index.html"

profile — чей это профиль, operation и requested_mask — что программа пыталась сделать (r — прочитать, w — записать), name — к какому пути. Отсюда видно, какой путь добавить в профиль.

Сам профиль пакета не трогают — его перепишет обновление. Нужные пути дописывают в /etc/apparmor.d/local/<имя профиля>: этот файл профиль подключает строкой include if exists <local/...>, и обновление его не трогает. Строка правила — путь и права:

echo '/srv/docs/** r,' \
  | sudo tee /etc/apparmor.d/local/usr.local.bin.docsrv
# перечитать профиль
sudo apparmor_parser -r /etc/apparmor.d/usr.local.bin.docsrv

r — чтение, w — запись, /srv/docs/** — все файлы под каталогом. Сам каталог — список его файлов — правило ** не открывает: для него нужна своя строка /srv/docs/ r, (в Вики). apparmor_parser -r перечитывает профиль, и правило действует сразу, в том числе для работающего процесса. Добавляют ровно нужные пути: всё остальное профиль должен держать закрытым.