AppArmor

# 启用 AppArmor
CONFIG_SECURITY=y
CONFIG_SECURITY_APPARMOR=y

# 设置为默认 LSM（可与其他 LSM 共存）
CONFIG_LSM="apparmor,selinux"

# 内核启动参数
# 禁用 AppArmor：apparmor=0
# 指定 LSM 顺序：lsm=apparmor,selinux

// 内核中 AppArmor 的路径解析（简化版）
// 源码：security/apparmor/file.c

当进程尝试访问 /var/www/html/index.html 时：

1. 获取当前任务的 Profile（如 /usr/sbin/nginx）
2. 将目标路径规范化为绝对路径
3. 在 Profile 的规则集中匹配：
   - /var/www/html/index.html
   - /var/www/html/**
   - /var/www/**
   - /var/**
   - /**
4. 找到第一条匹配规则，应用其权限

# 编译并加载 Profile
sudo apparmor_parser -r /etc/apparmor.d/usr.bin.nginx

# 查看已加载的策略
sudo aa-status

# 预编译策略（加速启动）
sudo apparmor_parser -Q /etc/apparmor.d/usr.bin.nginx

# 头部：定义 Profile 名称和标志
#include <tunables/global>

profile myapp /usr/bin/myapp flags=(complain) {
  # 包含抽象层
  #include <abstractions/base>

  # 能力规则
  capability net_bind_service,

  # 网络规则
  network inet tcp,

  # 文件规则
  /usr/bin/myapp          mr,
  /etc/myapp/**           r,
  /var/log/myapp.log      rw,
  /tmp/myapp-*            rwl,

  # 拒绝规则（在允许规则之后）
  deny /etc/shadow        r,
}

# 只读访问配置文件目录
/etc/nginx/** r,

# 读写访问日志文件
/var/log/nginx/*.log rw,

# 可读写并可锁定
/var/lib/nginx/** rwk,

# 允许执行脚本（仅读取+映射执行）
/usr/share/nginx/** mr,

# 允许读写 + 创建链接
/tmp/nginx-* rwl,

# 所有者只写（@{OWNER} 变量匹配文件所有者）
@{HOME}/.nginx-tmp rw,

# 明确拒绝（deny 规则优先级高于 allow）
deny /etc/shadow r,
deny /root/** rwx,

# 示例：Apache 的 Profile
/usr/sbin/apache2 {
    # Apache 主进程
    /usr/sbin/apache2       mr,

    # CGI 脚本：切换到各自的 Profile（如果存在）
    /usr/lib/cgi-bin/**     Px,

    # 系统 shell：受限制的子 Profile
    /bin/dash               Cx -> apache2-dash,

    # 辅助工具：继承 Apache 的限制
    /usr/bin/rotatelogs     ix,
}

# 子 Profile（Hat）
profile apache2-dash {
    #include <abstractions/base>
    /bin/dash               mr,
    /usr/bin/id             ix,
    /bin/ls                 ix,
}

# 允许绑定低端口（<1024）
capability net_bind_service,

# 允许修改系统时间
capability sys_time,

# 允许发送信号给其他进程
capability kill,

# 允许使用 chroot
capability sys_chroot,

# 允许修改文件所有者
capability chown,

# 允许绕过文件权限检查
capability dac_override,

# 允许设置 UID/GID
capability setuid,
capability setgid,

# 拒绝特定能力
deny capability sys_admin,
deny capability sys_module,

# 网络域类型
network inet,       # IPv4
network inet6,      # IPv6
network netlink,    # Netlink 套接字

# 协议类型
network tcp,        # TCP
network udp,        # UDP
network icmp,       # ICMP
network raw,        # RAW 套接字

# 组合使用
network inet tcp,           # IPv4 TCP
network inet6 udp,          # IPv6 UDP
network inet stream,        # IPv4 TCP 流套接字
network inet dgram,         # IPv4 UDP 数据报套接字

# 创建套接字
network create inet,

# 拒绝
deny network raw,
deny network packet,

# 挂载控制
mount,                                    # 允许所有挂载
mount /dev/sda1 -> /mnt/data/,           # 允许特定挂载
deny mount /dev/sda1 -> /mnt/secret/,    # 拒绝特定挂载
umount,                                   # 允许卸载

# 信号控制
signal (send) peer=nginx,                 # 允许向 nginx 发送信号
signal (receive) peer=unconfined,         # 允许接收非受限进程的信号

# Ptrace 控制
ptrace peer=@{profile_name},             # 允许跟踪同 Profile 的进程
deny ptrace,                              # 拒绝跟踪

# D-Bus 控制
dbus bind bus=session,                   # 绑定 Session Bus
dbus (send) bus=system path=/org/freedesktop/*,

# Unix 域套接字
unix (create),
unix (send receive) type=stream,

# 在 Profile 文件开头定义
@{APP_HOME}=/opt/myapp
@{LOG_DIR}=/var/log/myapp

profile myapp /opt/myapp/bin/myapp {
    @{APP_HOME}/bin/**      mr,
    @{APP_HOME}/etc/**      r,
    @{LOG_DIR}/**           rw,
}

# 预定义变量（在 tunables/global 中）
@{HOME}         # 用户主目录
@{HOSTNAME}     # 主机名
@{pid}          # 进程 PID
@{PROC}         # /proc

# 为路径定义别名
alias /usr/sbin/nginx -> /usr/bin/nginx,

#include <abstractions/base>           # 基础系统访问（推荐始终包含）
#include <abstractions/nameservice>    # DNS 解析
#include <abstractions/python>         # Python 运行时
#include <abstractions/perl>           # Perl 运行时
#include <abstractions/ssl_certs>      # SSL 证书访问
#include <abstractions/private-files>  # 排除用户私有文件

# 基础文件系统访问
/proc/*/mounts r,
/sys/kernel/security/apparmor/** r,

# 动态链接器
/lib/ld-*.so* mr,
/lib{,32,64}/ld-*.so mr,

# 基本库
/lib/**.so* mr,
/usr/lib/**.so* mr,

/usr/sbin/httpd {
    # Apache 主进程规则
    /usr/sbin/httpd mr,

    # 定义 Hat
    ^handlers {
        # CGI 处理器的安全上下文
        /usr/lib/cgi-bin/** Px,
    }

    ^default {
        # 默认上下文
        /var/www/** r,
    }

    # 切换到 Hat
    change_profile -> **,
}

# 设置为 enforce 模式
sudo aa-enforce /etc/apparmor.d/usr.bin.nginx

# 在 Profile 中声明
profile myapp /usr/bin/myapp flags=(enforce) { ... }

# 设置为 complain 模式
sudo aa-complain /etc/apparmor.d/usr.bin.nginx

# 在 Profile 中声明
profile myapp /usr/bin/myapp flags=(complain) { ... }

# 1. 创建 Profile 文件
sudo vim /etc/apparmor.d/usr.sbin.nginx

#include <tunables/global>

/usr/sbin/nginx {
    #include <abstractions/base>
    #include <abstractions/nameservice>
    #include <abstractions/ssl_certs>

    # 能力控制
    capability net_bind_service,
    capability setuid,
    capability setgid,
    capability dac_override,
    deny capability sys_admin,
    deny capability sys_module,

    # 网络控制
    network inet tcp,
    network inet6 tcp,
    deny network raw,

    # 二进制文件
    /usr/sbin/nginx          mr,

    # 配置文件（只读）
    /etc/nginx/**            r,
    /etc/ssl/**              r,

    # 日志文件（读写）
    /var/log/nginx/*.log     rw,

    # 网站内容（只读）
    /var/www/**              r,

    # PID 文件
    /var/run/nginx.pid       rw,

    # 临时文件
    /tmp/nginx-*             rw,

    # 明确拒绝敏感路径
    deny /etc/shadow         r,
    deny /root/**            rwx,
    deny /etc/ssh/**         r,
}

# 2. 加载 Profile
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx

# 3. 设为 enforce 模式
sudo aa-enforce /usr/sbin/nginx

# 4. 重启 Nginx 验证
sudo systemctl restart nginx

# 1. 启动交互式生成
sudo aa-genprof /usr/bin/myapp

# 输出示例：
# Updating AppArmor profiles in /etc/apparmor.d.
# Writing updated profile for /usr/bin/myapp.
# Setting /usr/bin/myapp to complain mode.
#
# Before you begin, you may wish to check if a
# default profile exists for the application.
#
# Please start the application to be profiled in
# another window and exercise its functionality now.
#
# Once completed, select the "Scan" option below.

# 2. 在另一个终端运行应用
sudo /usr/bin/myapp --do-stuff

# 3. 回到 aa-genprof 终端，按 S 扫描日志
# Profile:  /usr/bin/myapp
# Path:     /etc/myapp/config.yml
# New Mode: owner r
# Severity: 4
#
#  [1 - /etc/myapp/config.yml]
# (A)llow / [(D)eny] / (I)gnore / Audi(t) / Abo(r)t / (F)inish

# 4. 为每个事件选择操作
# A - 允许
# D - 拒绝
# I - 忽略（跳过此规则）
# F - 完成

# 5. 保存：按 S 保存 Profile

# 分析审计日志，更新 Profile
sudo aa-logprof

# 交互式选择：
# Profile:  /usr/bin/myapp
# Path:     /var/log/myapp/new-feature.log
# New Mode: owner rw
# Severity: 4
#
# (A)llow / (D)eny / (I)gnore / (G)lob / Glob w/Ext / Abo(r)t / (F)inish
#
# G - 使用通配符（如 /var/log/myapp/*.log）
# Glob w/Ext - 保留扩展名的通配符

# 实时查看 AppArmor 审计日志
sudo dmesg -w | grep -i apparmor

# 输出示例：
# audit: type=1400 audit(1453830992.845:37): apparmor="DENIED"
#   operation="open" profile="/usr/bin/myapp" name="/etc/shadow"
#   pid=1234 comm="myapp" requested_mask="r" denied_mask="r"

# 使用 journalctl（systemd 系统）
sudo journalctl -k | grep -i apparmor
sudo journalctl -f -k | grep -i apparmor

# 日志关键字段解读
# operation="open"      ← 操作类型
# profile="/usr/bin/myapp" ← 受限的 Profile
# name="/etc/shadow"    ← 被拒绝访问的资源
# requested_mask="r"    ← 请求的权限
# denied_mask="r"       ← 被拒绝的权限
# comm="myapp"          ← 进程命令名
# pid=1234              ← 进程 PID

# 1. 将 Profile 设为 complain 模式
sudo aa-complain /usr/bin/myapp

# 2. 重新运行应用（执行所有功能）
sudo /usr/bin/myapp

# 3. 用 aa-logprof 从日志生成规则
sudo aa-logprof

# 4. 检查生成的规则是否合理
cat /etc/apparmor.d/usr.bin.myapp

# 5. 切换回 enforce 模式
sudo aa-enforce /usr/bin/myapp

# 6. 验证无异常
sudo dmesg -c > /dev/null  # 清空日志
sudo /usr/bin/myapp
sudo dmesg | grep -i apparmor

# 查看 Docker 是否使用了 AppArmor
docker info | grep -i apparmor

# 查看容器的安全选项
docker inspect <container> | jq '.[0].HostConfig.SecurityOpt'

# 查看容器进程的 AppArmor 状态
cat /proc/$(docker inspect -f '{{.State.Pid}}' <container>)/attr/current
# 输出：docker-default (enforce)

# 1. 创建自定义 Profile
sudo vim /etc/apparmor.d/containers.d/docker-nginx

#include <tunables/global>

profile docker-nginx flags=(attach_disconnected,mediate_deleted) {
    #include <abstractions/base>

    # 网络
    network inet tcp,
    network inet udp,
    network inet icmp,
    deny network raw,

    file,
    umount,

    # 拒绝写入系统关键目录
    deny /bin/** wl,
    deny /boot/** wl,
    deny /dev/** wl,
    deny /etc/** wl,
    deny /lib/** wl,
    deny /lib64/** wl,
    deny /proc/** wl,
    deny /root/** wl,
    deny /sbin/** wl,
    deny /sys/** wl,
    deny /usr/** wl,

    # 审计写操作
    audit /** w,

    # Nginx 特定
    /var/run/nginx.pid      w,
    /usr/sbin/nginx         ix,
    /var/www/**             r,

    # 禁止执行 shell
    deny /bin/dash          mrwklx,
    deny /bin/sh            mrwklx,

    # 必要能力
    capability chown,
    capability dac_override,
    capability setuid,
    capability setgid,
    capability net_bind_service,

    deny mount,
}

# 2. 加载 Profile
sudo apparmor_parser -r -W /etc/apparmor.d/containers.d/docker-nginx

# 3. 使用自定义 Profile 运行容器
docker run --security-opt "apparmor=docker-nginx" \
    -p 80:80 -d --name secure-nginx nginx

# 4. 验证
docker exec secure-nginx cat /proc/1/attr/current
# 输出：docker-nginx (enforce)

# 安装
sudo apt install bane

# 编写简化的 TOML 配置
cat > nginx.toml << 'EOF'
Name = "docker-nginx"

[Filesystem]
  # 只读路径
  ReadOnlyPaths = [
    "/bin/**", "/boot/**", "/dev/**", "/etc/**",
    "/lib/**", "/lib64/**", "/proc/**",
    "/sbin/**", "/sys/**", "/usr/**"
  ]
  # 允许执行
  AllowExec = ["/usr/sbin/nginx"]
  # 允许写入
  AllowWrite = ["/var/run/nginx.pid", "/var/log/nginx/**"]

[Network]
  # 允许的 TCP 端口
  TCP = ["80", "443"]

[Capability]
  # 允许的能力
  Allow = ["chown", "dac_override", "setuid", "setgid", "net_bind_service"]
EOF

# 生成 AppArmor Profile
bane nginx.toml > /etc/apparmor.d/containers.d/docker-nginx

apiVersion: v1
kind: Pod
metadata:
  name: apparmor-pod
  annotations:
    # 为容器指定 AppArmor Profile
    container.apparmor.security.beta.kubernetes.io/nginx: localhost/docker-nginx
spec:
  containers:
  - name: nginx
    image: nginx:latest
  nodeSelector:
    # AppArmor 仅在特定节点上可用
    kubernetes.io/os: linux

# ✅ 好：最小权限原则
profile secure-app /opt/app/bin/secure-app {
    #include <abstractions/base>

    # 只允许必需的路径
    /opt/app/bin/secure-app   mr,
    /opt/app/etc/config.yml   r,
    /opt/app/logs/*.log       rw,

    # 只允许必需的 capability
    capability net_bind_service,

    # 明确拒绝敏感操作
    deny capability sys_admin,
    deny capability sys_module,
    deny /etc/shadow r,
    deny /root/** rwx,
}

# ❌ 坏：过度宽松
profile loose-app /opt/app/bin/loose-app {
    #include <abstractions/base>
    capability,              # 允许所有 capability！
    /** rw,                  # 允许读写整个文件系统！
    network,                 # 允许所有网络！
}

# 完整的容器安全配置
docker run -d \
  --name ultra-secure-app \
  --security-opt apparmor=custom-profile \     # AppArmor 文件访问控制
  --security-opt seccomp=strict.json \         # Seccomp 系统调用过滤
  --security-opt no-new-privileges:true \      # 禁止提权
  --cap-drop=ALL \                             # 移除所有 Capabilities
  --cap-add=NET_BIND_SERVICE \                 # 只加回必需的
  --read-only \                                # 根文件系统只读
  --tmpfs /tmp:noexec,nosuid \                 # tmpfs 限制
  myapp:latest

# 诊断步骤
# 1. 检查是否是 AppArmor 导致
sudo dmesg | grep -i "apparmor.*DENIED"

# 2. 临时切换到 complain 模式确认
sudo aa-complain /usr/bin/myapp
sudo /usr/bin/myapp  # 如果能启动，说明是 AppArmor 拦截

# 3. 用 aa-logprof 更新 Profile
sudo aa-logprof

# 4. 切换回 enforce
sudo aa-enforce /usr/bin/myapp

# 可能是 AppArmor 阻止了关键操作
docker run --security-opt apparmor=unconfined <image>  # 临时绕过
# 如果容器能启动，说明需要调整 Profile

# 确保覆盖所有功能路径
# 在 complain 模式下完整运行应用的所有功能
# 包括：启动、正常操作、异常处理、停止

# 重新扫描日志
sudo aa-logprof

# 检查内核支持
grep -i apparmor /boot/config-$(uname -r)
# 应有：CONFIG_SECURITY_APPARMOR=y

# 检查是否加载
sudo aa-status
# 或
cat /sys/module/apparmor/parameters/enabled
# 输出 Y 表示已启用

# 如果未加载
sudo systemctl enable apparmor
sudo systemctl start apparmor

# 重新加载 Profile
sudo apparmor_parser -r /etc/apparmor.d/usr.bin.myapp

# 或重新启动 apparmor 服务
sudo systemctl reload apparmor

# 验证
sudo aa-status | grep myapp