Режим AppArmor

Режим AppArmor — режим применения отдельного профиля AppArmor, ограничивающего возможности программы по пути к файлам, операциям ядра и другим разрешениям. Обычно профиль работает в enforce, когда запрещённые политикой действия отклоняются, либо в complain, когда нарушения допускаются и регистрируются, кроме действий, явно запрещённых правилами deny: они по-прежнему блокируются. Режим задаётся для профиля, а не обязательно для всей системы. Complain применяют при создании и корректировке профиля по журналам аудита; после проверки профиль переводят в enforce. Отключённый профиль не накладывает ограничений, поэтому его наличие в конфигурации не означает фактической защиты процесса. Режимы AppArmor используют для изоляции сетевых служб, агентов и прикладных процессов на Linux-серверах. Они отличаются от режима SELinux архитектурой контроля: AppArmor преимущественно использует профили, привязанные к путям, тогда как SELinux использует метки и правила типов.