Режим complain

Режим complain — режим применения профиля AppArmor, предназначенный для наблюдения за действиями приложения до ввода жёстких ограничений. Если обращение не разрешено обычными правилами профиля, AppArmor формирует событие аудита и обычно позволяет операцию; явно заданные правила deny при этом продолжают её блокировать. Записи аудита используют для выявления легитимных обращений, которых нет в профиле, и последующей корректировки правил. Режим помогает снизить риск нарушения работы службы при разработке или адаптации политики, но не ограничивает последствия разрешённого выполнения процесса так же, как enforce. Его применяют при первичной настройке защиты служб Linux, после обновления приложения и при расследовании несовпадений между профилем и фактическими требованиями программы. Записи аудита следует проверять: они могут отражать и штатные, и нежелательные обращения. Complain не отключает AppArmor и не равен отсутствию профиля: политика продолжает сопоставляться с действиями и журналироваться. От режима enforce он отличается тем, что операции, не разрешённые обычными правилами профиля, обычно только регистрируются, однако явные запреты deny продолжают применяться.