Режим enforce AppArmor

Режим enforce AppArmor — состояние профиля AppArmor, при котором ядро Linux применяет заданные правила мандатного контроля доступа к процессу. Операции с файлами, сетевыми ресурсами, возможностями ядра и другими объектами, не разрешённые профилем, отклоняются. Решение о доступе принимается по активному профилю, назначенному процессу; обычно он выбирается при запуске исполняемого файла или переходе между профилями. Отказы обычно записываются в журнал аудита или системный журнал, что позволяет уточнять политику. Перед включением enforce профиль обычно проверяют в режиме complain, поскольку избыточно строгие правила способны нарушить работу службы. Режим используется для ограничения последствий компрометации сетевых служб, контейнерных процессов и прикладного ПО в Linux. Он отличается от режима complain: complain разрешает и регистрирует нарушения обычных разрешающих правил, но продолжает применять явно заданные правила deny. AppArmor в целом не заменяет права DAC, обновления и настройку межсетевого экрана, а дополняет эти механизмы.