Apparmor：是否可以从可执行文件中调用另一个可执行文件？

Question

我遇到问题我不确定如何在AppArmor中解决。

基本上我有一个执行程序的配置文件，让我们说

profile myprof {
    /my/executable ix,
}

问题是，从那个可执行文件中，我调用另一个，生成一个进程，让我们称之为/ / / other / executable。

如何让AppArmor赋予/ my / executable权限来调用/ other / executable？当然，这将在/ my / executable已经运行时完成。

Answer 1

profile myprof {
    /my/executable ix,
}

当您编写这样的规则时，您要做的就是允许myprof以与/my/executable相同的权限完全执行myprof。 因此，如果您想允许/my/executable做某事，您只需要将该权限添加到myprof中，它将被/my/executable继承为 i 。 但是，如果您想专有地授予/my/executable以及myprof特定权限，则需要使用其他权限：

• ux-无限制执行

• Ux-无限制执行-清理环境

• px-执行离散配置文件

• Px-执行离散配置文件-清理环境

• cx-执行时过渡到子配置文件

• Cx-执行时过渡到子配置文件-清理 环境

• pix-使用继承回退执行离散配置文件

• Pix-使用继承回退执行离散配置文件-清理 环境

• cix-使用继承回退执行时过渡到子配置文件

• Cix-使用继承回退执行时过渡到子配置文件 -清理环境

• pux-执行离散配置文件，回退到无限制

• PUx-执行离散配置文件，回退到无限制- 清理环境

• cux-执行时过渡到子配置文件，回退到 无限制的

• CUx-执行时过渡到子配置文件，回退到 无限制-清理环境

离散概要文件和子概要文件之间的区别在于，离散概要文件是 normal 概要文件，子概要文件是在当前概要文件内部 中定义的。