AppArmor: когда доступ запрещает профиль

Не запущена Запускается обычно ~20 с

Шаг 4 из 5 · лаба · 20 мин

Службе отказано в доступе

База знаний переехала на новый диск, и служба перестала видеть статьи — хотя права на месте и пользователь службы читает их сам. Найди, кто отказывает, и верни службе доступ, не ослабляя её защиту.

Ситуация

Внутренняя база знаний — служба lab-kb, приложение kb-server — на прошлой неделе переехала на новый диск: статьи перенесли из /var/lib/kb в /srv/kb, путь в /etc/kb-server/kb.conf поправили. С тех пор база не открывается:

curl -s http://127.0.0.1:8098/

Права коллега уже проверил: каталоги 755, файлы 644. От пользователя службы статья читается — sudo -u kb cat /srv/kb/howto/vpn.md. Рядом на том же диске лежит /srv/hr — выгрузки отдела кадров.

Задача

lab-kb отдаёт главную страницу со списком статей и сами статьи из /srv/kb, в том числе новые. Код приложения и путь к статьям в настройках прежние.
Защиту службы не ослабляй: процесс работает под своим профилем AppArmor kb-server в режиме enforce.
К /srv/kb служба получает только чтение. Писать туда, читать /srv/hr и /etc/shadow она по-прежнему не может.
Файл профиля из пакета /etc/apparmor.d/usr.local.bin.kb-server не правь — обновление пакета его заменит. Свои правила держи в /etc/apparmor.d/local/usr.local.bin.kb-server: исправление должно действовать и после загрузки профиля с диска.

Интернета на машине нет, всё нужное уже установлено. Команды администратора запускай через sudo.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 4

lab-kb отдаёт главную страницу и статьи из /srv/kb, в том числе новые; код приложения и путь к статьям прежние — ещё не выполнена
Процесс службы работает под профилем kb-server в режиме enforce — ещё не выполнена
Профиль даёт службе только чтение /srv/kb — /srv/hr, /etc/shadow и запись в /srv/kb ей закрыты — ещё не выполнена
Свои правила — в /etc/apparmor.d/local, файл профиля из пакета прежний; после загрузки профиля с диска служба работает — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 4

lab-kb отдаёт главную страницу и статьи из /srv/kb, в том числе новые; код приложения и путь к статьям прежние — ещё не выполнена
Процесс службы работает под профилем kb-server в режиме enforce — ещё не выполнена
Профиль даёт службе только чтение /srv/kb — /srv/hr, /etc/shadow и запись в /srv/kb ей закрыты — ещё не выполнена
Свои правила — в /etc/apparmor.d/local, файл профиля из пакета прежний; после загрузки профиля с диска служба работает — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 4

lab-kb отдаёт главную страницу и статьи из /srv/kb, в том числе новые; код приложения и путь к статьям прежние — ещё не выполнена
Процесс службы работает под профилем kb-server в режиме enforce — ещё не выполнена
Профиль даёт службе только чтение /srv/kb — /srv/hr, /etc/shadow и запись в /srv/kb ей закрыты — ещё не выполнена
Свои правила — в /etc/apparmor.d/local, файл профиля из пакета прежний; после загрузки профиля с диска служба работает — ещё не выполнена

Безопасность · подобрано по лабе

AppArmor

Шпаргалка

$_ — вставить в терминал

sudo aa-status профили и режимы
journalctl -k | grep -i 'apparmor.*denied' что блокируется
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx только лог
sudo aa-logprof дополнить профиль по логам
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx обратно блокировать
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx перечитать

Режимы и команды

Профили — в /etc/apparmor.d/. Два режима:

enforce — нарушения блокируются;
complain — только логируются (для отладки/обкатки).

bash

sudo aa-status                                    # обзор
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx   # → complain
sudo aa-enforce  /etc/apparmor.d/usr.sbin.nginx   # обратно в enforce
sudo aa-disable  /etc/apparmor.d/usr.sbin.nginx   # отключить профиль
sudo apparmor_parser -r /etc/apparmor.d/profile   # перечитать
sudo apparmor_parser -R /etc/apparmor.d/profile   # выгрузить профиль
sudo systemctl reload apparmor

Пакеты apparmor-utils дают aa-* хелперы; без них — только apparmor_parser.

Профили и обкатка

Структура профиля (упрощённо): путь к бинарю + правила доступа (capabilities, пути с r/w/ix), плюс #include <abstractions/...> и #include <tunables/...>.

Полуавтоматическая доводка профиля под реальное поведение:

bash

sudo aa-genprof /usr/bin/myapp    # создать профиль, гоняя приложение
sudo aa-logprof                   # правила по логам отказов

Типичный цикл: aa-complain → погонять нагрузку → aa-logprof (принять сгенерированные разрешения) → aa-enforce.

«Permission denied», а права (rwx) верные

Блокирует AppArmor. Смотри отказы:

bash

sudo journalctl -k | grep -i 'apparmor.*denied'
sudo dmesg | grep -i 'apparmor.*DENIED'

Строка DENIED ... operation="open" ... name="/path" укажет, к чему профиль не пустил.

Служба работает, но не может в новый каталог

Профиль не разрешает путь. На время отладки — aa-complain, погонять, затем aa-logprof дополнит профиль, и aa-enforce.

Профиль не перечитывается после правки

sudo apparmor_parser -r <профиль> (или reload apparmor). Синтаксическая ошибка — parser её покажет.

Хочу временно отключить для одной службы

sudo aa-complain <профиль> (мягко) или aa-disable. Полностью глушить AppArmor в проде не стоит — это потеря защиты.

snap-приложение и AppArmor

Snap использует свои профили (confinement); отказы тоже видны в journalctl -k (см. snap snap connections).