Apparmor Profilaufbau - Versionsgeschichte

Thomas.will am 17. Januar 2023 um 05:36 Uhr

2023-01-17T05:36:57Z

Thomas.will: /* Tunables */

2023-01-17T05:36:34Z

Tunables

Thomas.will: /* Abstractions */

2023-01-16T18:44:17Z

Abstractions

Thomas.will: /* Abstractions */

2023-01-16T18:40:27Z

Abstractions

Thomas.will: /* Abstractions */

2023-01-16T18:38:41Z

Abstractions

Thomas.will am 16. Januar 2023 um 18:36 Uhr

2023-01-16T18:36:31Z

Thomas.will am 12. Januar 2023 um 07:13 Uhr

2023-01-12T07:13:05Z

Thomas.will am 12. Januar 2023 um 07:12 Uhr

2023-01-12T07:12:39Z

Thomas.will: Die Seite wurde neu angelegt: „Mit dem Befehl #include können andere (grundlegende) Regelsätze eingebunden werden. *In allen Profilen ist grundsätzlich die Datei /etc/apparmor.d/tunables…“

2023-01-12T07:11:45Z

Die Seite wurde neu angelegt: „Mit dem Befehl #include können andere (grundlegende) Regelsätze eingebunden werden. *In allen Profilen ist grundsätzlich die Datei /etc/apparmor.d/tunables…“

Neue Seite

Mit dem Befehl #include können andere (grundlegende) Regelsätze eingebunden werden.

*In allen Profilen ist grundsätzlich die Datei /etc/apparmor.d/tunables/global mit #include eingebunden, die wiederum weitere Dateien aus diesem Verzeichnis enthält, in denen u.a. Variablen wie @{HOME} (für alle Homeverzeichnisse) oder @{PROC} (für das Verzeichnis /proc/) definiert sind.

*Nach der Angabe des Pfades zur Anwendung, für die das Profil erstellt ist, stehen sämtliche Regeln innerhalb von geschweiften Klammern. Jede Zeile endet mit einem Komma - mit Ausnahme von Kommentaren, #include-Anweisungen, mit denen sogenannten abstractions eingebunden werden, und Kind-Profile (näheres dazu weiter unten).

*Mit dem Befehl capability XYZ werden grundlegende Eigenschaften/Merkmale definiert. Siehe dazu die entsprechende Manpage 🇬🇧 sowie Capability rules 🇬🇧.

*/PFAD/ZU/DATEI OPTION setzt die Berechtigungen für das jeweilige Verzeichnis bzw. die jeweilige Hilfsanwendung. Dabei ist die Verwendung des Jokers * erlaubt, zwei ** bedeuten "inkl. aller Unterverzeichnisse" (extended globbing). Beispiele dazu:

@@ Zeile 15: / Zeile 15: @@
+}
 </pre>
 =Include-Anweisungen=
 *Include-Anweisungen sind Direktiven, die Komponenten anderer AppArmor-Profile einbeziehen, um Profile zu vereinfachen.

← Nächstältere Version		Version vom 17. Januar 2023, 05:36 Uhr
Zeile 49:		Zeile 49:
	*Bei Verwendung in einem Profil erweitern sich diese Variablen auf einen Wert, der geändert werden kann, ohne das gesamte Profil zu ändern.		*Bei Verwendung in einem Profil erweitern sich diese Variablen auf einen Wert, der geändert werden kann, ohne das gesamte Profil zu ändern.
	*Fügen Sie alle Tunables-Definitionen, die für jedes Profil verfügbar sein sollten, zu /etc/apparmor.d/tunables/global hinzu.		*Fügen Sie alle Tunables-Definitionen, die für jedes Profil verfügbar sein sollten, zu /etc/apparmor.d/tunables/global hinzu.
		+	=Regel=
		+	*AppArmor kennt AppArmor sowohl Regeln für den Zugriff auf Dateien als auch für den Zugriff auf das Netzwerk.
		+	*Eine Regel besteht aus einem absoluten Dateinamen oder einem Dateiglobbing
		+	*gefolgt wird der Dateinamen von den Zugriffsrechten.
		+	*Sowohl der Dateiname als auch das Globbing kann Variablenenthalten.

@@ Zeile 26: / Zeile 26: @@
 */PFAD/ZU/DATEI OPTION setzt die Berechtigungen für das jeweilige Verzeichnis bzw. die jeweilige Hilfsanwendung. Dabei ist die Verwendung des Jokers * erlaubt, zwei ** bedeuten "inkl. aller Unterverzeichnisse" (extended globbing). Beispiele dazu:
 =Abstractions=
 *Abstraktionen sind Einschlüsse, die nach allgemeinen Anwendungsaufgaben gruppiert sind.
@@ Zeile 32: / Zeile 40: @@
 *Programme, die eine dieser Dateien benötigen, benötigen normalerweise auch andere Dateien, die in der Abstraktionsdatei aufgeführt sind.
 *Abstraktionen finden Sie in /etc/apparmor.d/abstractions.
 =Capability Entries=
 *Capability-Regeln bestehen einfach aus dem Wort Capability, gefolgt vom Namen der POSIX.1e-Capability, wie in der Manpage Capabilities definiert.

@@ Zeile 32: / Zeile 32: @@
 *Programme, die eine dieser Dateien benötigen, benötigen normalerweise auch andere Dateien, die in der Abstraktionsdatei aufgeführt sind.
 *Abstraktionen finden Sie in /etc/apparmor.d/abstractions.
 =Tunables=
 *Das Tunables-Verzeichnis (/etc/apparmor.d/tunables) enthält globale Variablendefinitionen.
 *Bei Verwendung in einem Profil erweitern sich diese Variablen auf einen Wert, der geändert werden kann, ohne das gesamte Profil zu ändern.
 *Fügen Sie alle Tunables-Definitionen, die für jedes Profil verfügbar sein sollten, zu /etc/apparmor.d/tunables/global hinzu.

← Nächstältere Version		Version vom 16. Januar 2023, 18:38 Uhr
Zeile 32:		Zeile 32:
	*Programme, die eine dieser Dateien benötigen, benötigen normalerweise auch andere Dateien, die in der Abstraktionsdatei aufgeführt sind.		*Programme, die eine dieser Dateien benötigen, benötigen normalerweise auch andere Dateien, die in der Abstraktionsdatei aufgeführt sind.
	*Abstraktionen finden Sie in /etc/apparmor.d/abstractions.		*Abstraktionen finden Sie in /etc/apparmor.d/abstractions.
		+	=Tunables=
		+	*Das Tunables-Verzeichnis (/etc/apparmor.d/tunables) enthält globale Variablendefinitionen.
		+	*Bei Verwendung in einem Profil erweitern sich diese Variablen auf einen Wert, der geändert werden kann, ohne das gesamte Profil zu ändern.
		+	*Fügen Sie alle Tunables-Definitionen, die für jedes Profil verfügbar sein sollten, zu /etc/apparmor.d/tunables/global hinzu.

← Nächstältere Version		Version vom 16. Januar 2023, 18:36 Uhr
Zeile 25:		Zeile 25:

	/PFAD/ZU/DATEI OPTION setzt die Berechtigungen für das jeweilige Verzeichnis bzw. die jeweilige Hilfsanwendung. Dabei ist die Verwendung des Jokers erlaubt, zwei ** bedeuten "inkl. aller Unterverzeichnisse" (extended globbing). Beispiele dazu:		/PFAD/ZU/DATEI OPTION setzt die Berechtigungen für das jeweilige Verzeichnis bzw. die jeweilige Hilfsanwendung. Dabei ist die Verwendung des Jokers erlaubt, zwei ** bedeuten "inkl. aller Unterverzeichnisse" (extended globbing). Beispiele dazu:
		+
		+	=Abstractions=
		+	*Abstraktionen sind Einschlüsse, die nach allgemeinen Anwendungsaufgaben gruppiert sind.
		+	*Diese Aufgaben umfassen den Zugriff auf Authentifizierungsmechanismen, Zugriff auf Namensdienstroutinen, allgemeine Grafikanforderungen und Systemabrechnung.
		+	*Dateien, die in diesen Abstraktionen aufgelistet sind, sind spezifisch für die benannte Aufgabe.
		+	*Programme, die eine dieser Dateien benötigen, benötigen normalerweise auch andere Dateien, die in der Abstraktionsdatei aufgeführt sind.
		+	*Abstraktionen finden Sie in /etc/apparmor.d/abstractions.

← Nächstältere Version		Version vom 12. Januar 2023, 07:13 Uhr
Zeile 1:		Zeile 1:
		+	*Eine Profil-Datei ist dabei prinzipiell wie folgt aufgebaut:
	<pre>		<pre>
	#include <tunables/global>		#include <tunables/global>

← Nächstältere Version		Version vom 12. Januar 2023, 07:12 Uhr
Zeile 1:		Zeile 1:
−	Mit dem Befehl #include können andere (grundlegende) Regelsätze eingebunden werden.	+	<pre>
		+	#include <tunables/global>
		+
		+	/pfad/zur/anwendung {
		+	#include <abstractions/base>
		+	[...]
		+	capability sys_admin,
		+	[...]
		+	# Kommentar
		+	/usr/lib/gconv/** r,
		+	/proc/meminfo r,
		+	/bin/basename rmix,
		+	[...]
		+	}
		+	</pre>
		+
		+	*Mit dem Befehl #include können andere (grundlegende) Regelsätze eingebunden werden.

	*In allen Profilen ist grundsätzlich die Datei /etc/apparmor.d/tunables/global mit #include eingebunden, die wiederum weitere Dateien aus diesem Verzeichnis enthält, in denen u.a. Variablen wie @{HOME} (für alle Homeverzeichnisse) oder @{PROC} (für das Verzeichnis /proc/) definiert sind.		*In allen Profilen ist grundsätzlich die Datei /etc/apparmor.d/tunables/global mit #include eingebunden, die wiederum weitere Dateien aus diesem Verzeichnis enthält, in denen u.a. Variablen wie @{HOME} (für alle Homeverzeichnisse) oder @{PROC} (für das Verzeichnis /proc/) definiert sind.