Linux Labs
Linux Labs
RU

Безопасность сервера / Ступень 8 из 10

AppArmor: когда доступ запрещает профиль

Не запущена Запускается обычно ~20 с
Выйти из урока

Шаг 5 из 5 · итог · 3 мин

Итог

  • Права на файл верные, а доступа нет — так выглядит отказ AppArmor; его строка apparmor="DENIED" в журнале ядра.
  • Строка отказа называет профиль, путь и действие (r/w) — по ней понятно, какой путь добавить.
  • Режим профиля enforce запрещает всё лишнее, complain только логирует; переключают aa-enforce/aa-complain.
  • Нужный путь дописывают в /etc/apparmor.d/local/<профиль> и перечитывают apparmor_parser -r, оставляя профиль в enforce.
  • lab-docs из начала урока отвечала отказом, потому что данные перенесли в /srv/docs, а профиль разрешал только прежний каталог.

Есть неточность? Сообщить об ошибке в уроке

Справочник по уроку

Статьи

  • journalctl — логи и журнал systemd — Просмотр журнала systemd (journald). journalctl -u nginx — логи конкретной службы.
  • Особые биты прав: setuid, setgid, sticky — Особые биты прав: setuid и setgid запускают программу с правами владельца, setgid и sticky — для общих каталогов.
  • AppArmor — Мандатный контроль доступа в Ubuntu — профили служб, режимы enforce/complain.
Ubuntu 24.04
Загрузка…