AppArmor - 版の履歴

Kusanaginoturugi: /* インストール */ 翻訳文が重複していたので古い方を採用

2023-06-02T06:24:51Z

インストール: 翻訳文が重複していたので古い方を採用

← 古い版		2023年6月2日 (金) 15:24時点における版
22行目:		22行目:
	AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]で利用できます。		AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]で利用できます。

	AppArmor を制御するためのユーザ~~空間の~~ツール~~および~~ライブラリの {{Pkg\|apparmor}} を[[インストール]]します。起動時にすべてのAppArmor プロファイルをロードするには、{{ic\|apparmor.service}} を[[有効]]にします。		AppArmor を制御するためのユーザースペースツールやライブラリは {{Pkg\|apparmor}} パッケージで[[インストール]]できます。起動時に全ての AppArmor プロファイルをロードするには、{{ic\|apparmor.service}} を[[有効化]]してください。

	起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:		起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:
32行目:		32行目:
	* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。		* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。
	}}		}}

	AppArmor を制御するためのユーザースペースツールやライブラリは {{Pkg\|apparmor}} パッケージで[[インストール]]できます。起動時に全ての AppArmor プロファイルをロードするには、{{ic\|apparmor.service}} を[[有効化]]してください。

	=== カスタムカーネル ===		=== カスタムカーネル ===

Kusanaginoturugi: /* インストール */ 飜訳

2023-06-02T06:22:54Z

インストール: 飜訳

← 古い版		2023年6月2日 (金) 15:22時点における版
20行目:		20行目:
	== インストール ==		== インストール ==

	AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]~~に含まれてい~~ます。		AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]で利用できます。

			AppArmor を制御するためのユーザ空間のツールおよびライブラリの {{Pkg\|apparmor}} を[[インストール]]します。起動時にすべてのAppArmor プロファイルをロードするには、{{ic\|apparmor.service}} を[[有効]]にします。
	[[Install]] {{Pkg\|apparmor}} for userspace tools and libraries to control AppArmor. To load all AppArmor profiles on startup, [[enable]] {{ic\|apparmor.service}}.

	To enable AppArmor as default security model on every boot, set the following [[kernel parameter]]:

	起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:		起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:

Kusanaginoturugi: /* インストール */ 記事を追加

2023-06-02T06:18:39Z

インストール: 記事を追加

← 古い版		2023年6月2日 (金) 15:18時点における版
21行目:		21行目:

	AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]に含まれています。		AppArmor は[[カーネル#公式パッケージ\|公式でサポートしているカーネル]]に含まれています。

			[[Install]] {{Pkg\|apparmor}} for userspace tools and libraries to control AppArmor. To load all AppArmor profiles on startup, [[enable]] {{ic\|apparmor.service}}.

			To enable AppArmor as default security model on every boot, set the following [[kernel parameter]]:

	起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:		起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:

Hikali: cat コマンドの後ろにスペースを追加

2023-05-22T00:50:03Z

cat コマンドの後ろにスペースを追加

← 古い版		2023年5月22日 (月) 09:50時点における版
26行目:		26行目:
	lsm=landlock,lockdown,yama,apparmor,bpf		lsm=landlock,lockdown,yama,apparmor,bpf

	{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat/sys/kernel/security/lsm}} です。		{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat /sys/kernel/security/lsm}} です。
	* {{ic\|apparmor}} がリストの最初の "major" モジュールであることを確認してください。[https://www.kernel.org/doc/html/latest/admin-guide/LSM/index.html] 有効な値とその順序の例については、 [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/security/Kconfig security/Kconfig] を参照してください。		* {{ic\|apparmor}} がリストの最初の "major" モジュールであることを確認してください。[https://www.kernel.org/doc/html/latest/admin-guide/LSM/index.html] 有効な値とその順序の例については、 [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/security/Kconfig security/Kconfig] を参照してください。
	* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。		* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。

Kgx: /* ヒントとテクニック */ 情報を更新

2023-02-23T12:14:06Z

ヒントとテクニック: 情報を更新

← 古い版		2023年2月23日 (木) 21:14時点における版
145行目:		145行目:
	{{Tip\|{{ic\|wheel}} や {{ic\|adm}} など既存のシステムグループを使用することもできます。}}		{{Tip\|{{ic\|wheel}} や {{ic\|adm}} など既存のシステムグループを使用することもできます。}}

			{{Pkg\|python-notify2}} と {{Pkg\|python-psutil}} を [[インストール]] します。
⚫	以下の内容で[[デスクトップエントリ]]を作成:

		⚫	以下のコンテンツで [[デスクトップランチャー]] を作成します。

	{{hc\|~/.config/autostart/apparmor-notify.desktop\|2=		{{hc\|~/.config/autostart/apparmor-notify.desktop\|2=

Kgx: /* トラブルシューティング */ aa-logprof でイベントが捕捉されないを翻訳して追加

2023-02-23T12:08:45Z

トラブルシューティング: aa-logprof でイベントが捕捉されないを翻訳して追加

← 古い版		2023年2月23日 (木) 21:08時点における版
195行目:		195行目:
	=== Samba SMB/CIFS サーバーを起動できない ===		=== Samba SMB/CIFS サーバーを起動できない ===

	[[Samba#AppArmor におけるパーミッションの問題]]を参照。		[[Samba#AppArmor におけるパーミッションの問題]] を参照

			=== aa-logprof でイベントが捕捉されない ===

			[[Audit フレームワーク]] のログに特殊文字 {{ic\|0x1d}} [https://github.com/linux-audit/audit-userspace/issues/3] が含まれる場合があります。[https://gitlab.com/apparmor/apparmor/-/issues/271 AppArmor バグレポート] がありますが、回避策として次を実行します。

			# aa-logprof -f <(sed 's/\x1d.*//' < /var/log/audit/audit.log)

	== 参照 ==		== 参照 ==

Kgx: /* 監査とプロファイルの作成 */ 情報を更新

2021-07-28T04:21:58Z

監査とプロファイルの作成: 情報を更新

← 古い版		2021年7月28日 (水) 13:21時点における版
83行目:		83行目:

	=== 監査とプロファイルの作成 ===		=== 監査とプロファイルの作成 ===
	~~{{ic\|aa-genprof}} を使って~~新規プロファイルを作成するには、[[Audit フレームワーク]]を~~動作させ~~る必要があります。Arch Linux は systemd を使用し~~ておりデフォルトでは~~ファイル~~にカーネルログ~~を~~出力し~~ないためです。AppArmor はユーザー空間の auditd デーモンからカーネルの監査ログを取得してプロファイルを~~作成することが~~できます。		新しいプロファイルを作成するには、 [[Audit フレームワーク]] を実行する必要があります。これは、Arch Linux がデフォルトで [[systemd]] を採用し、ファイルへの kernel logging を行わないためです。AppArmor は、ユーザー空間の auditd デーモンからカーネル監査ログを取得し、プロファイルを構築できます。

	{{pkg\|apparmor}} パッケージに~~含まれ~~ている {{man\|8\|aa-~~genprof~~}} と {{man\|8\|aa-logprof}} ツールを~~使うことで新~~し~~い AppArmor~~ プロファイルを作成できます。ツールの~~詳しい~~使い方は [https://gitlab.com/apparmor/apparmor/wikis/Profiling_with_tools AppArmor wiki - Profiling with tools] ~~に載っ~~ています。		新しい AppArmor プロファイルは、{{man\|8\|aa-genprof}} または {{man\|8\|aa-autodep}} を使用して作成できます。プロファイルは最初に ''complain mode'' で作成されます。このモードでは、ポリシー違反は報告されるだけで、強制されません。ルールは、{{pkg\|apparmor}} パッケージの {{man\|8\|aa-logprof}} ツールによってインタラクティブに作成されます。最後に、{{man\|8\|aa-enforce}} を使用して、プロファイルを ''enforce mode'' に設定する必要があります。このモードでは、対応するプロファイルのルールによって定義されたポリシーが適用されます。必要に応じて、{{man\|8\|aa-logprof}} を繰り返し実行してルールを追加したり、{{man\|8\|aa-apprait}} を使用してプロファイルを警告モードに戻すことができます。これらのツールの使用方法の詳細については、 [https://gitlab.com/apparmor/apparmor/wikis/Profiling_with_tools AppArmor wiki-Profiling with tools] を参照してください。

			{{man\|8\|aa-logprof}} には ''deny'' ルールも用意されていますが、これは基本的な AppArmor ロジックによれば、ルールによって明示的に許可されていないものはすべて禁止されているため、厳密には必要ではありません。ただし、''deny'' 規則には2つの目的があります。
⚫	プロファイル~~は手動でも~~作成できます。詳しくは [https://gitlab.com/apparmor/apparmor/wikis/Profiling_by_hand AppArmor wiki - Profiling by hand] を参照。

			# ''deny'' ルールは ''allow'' ルールよりも優先されます。重要なフォルダやファイルへのアクセスをブロックするために、{{ic\|/etc/apparmor.d/abstractions}} にある多くの [https://man.archlinux.org/man/extra/apparmor/apparmor.d.5.en##include_mechanism abstractions] でよく使用されます。これにより、誤って作成された許可ルールによってプロファイルが過度に許可されることがなくなります。
			#''allow'' ルールは、logging を無効にし、以降の ''aa-logprof'' の実行ノイズを減らします。''deny'' ルールは ''complain mode'' でも適用されることを覚えておくことが重要です。アプリケーションが苦情モードでも適切に動作しない場合、プロファイルまたは拒否ルールをチェックしてください。

		⚫	また、手動でプロファイルを作成することもできます。詳細については、 [https://gitlab.com/apparmor/apparmor/wikis/Profiling_by_hand AppArmor wiki-Profiling by hand] を参照してください。

	=== プロファイルの構文 ===		=== プロファイルの構文 ===

Kgx: /* インストール */ 翻訳を修正

2021-07-28T04:09:22Z

インストール: 翻訳を修正

← 古い版		2021年7月28日 (水) 13:09時点における版
27行目:		27行目:

	{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat/sys/kernel/security/lsm}} です。		{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat/sys/kernel/security/lsm}} です。
	* {{ic\|apparmor}} がリストの最初の ~~''主要な''~~ モジュールであることを確認してください。[https://www.kernel.org/doc/html/latest/admin-guide/LSM/index.html] 有効な値とその順序の例については、 [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/security/Kconfig security/Kconfig] を参照してください。		* {{ic\|apparmor}} がリストの最初の "major" モジュールであることを確認してください。[https://www.kernel.org/doc/html/latest/admin-guide/LSM/index.html] 有効な値とその順序の例については、 [https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/security/Kconfig security/Kconfig] を参照してください。
	* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。		* {{ic\|capability}} は常に自動的に含まれるため、{{ic\|1=lsm=}} では省略する必要があります。
	}}		}}

Kgx: /* カスタムカーネル */ 情報を更新

2021-07-28T04:08:40Z

カスタムカーネル: 情報を更新

← 古い版		2021年7月28日 (水) 13:08時点における版
38行目:		38行目:

	CONFIG_SECURITY_APPARMOR=y		CONFIG_SECURITY_APPARMOR=y
	CONFIG_SECURITY_APPARMOR_BOOTPARAM_VALUE=1
	CONFIG_DEFAULT_SECURITY_APPARMOR=y
	CONFIG_AUDIT=y		CONFIG_AUDIT=y

			AppArmor Linux セキュリティモデルをデフォルトで有効にし、カーネルパラメータで設定する必要を無くすには、さらに {{ic\|CONFIG_LSM}} オプションを設定し、リストの最初の "major" モジュールとして {{ic\|apparmor}} を指定します。
	上記の変数が上書きされないように、コンフィグファイルの一番下に変数を記述するようにしてください。

			CONFIG_LSM="landlock,lockdown,yama,apparmor,bpf"
	{{ic\|CONFIG_SECURITY_APPARMOR_BOOTPARAM_VALUE}} や {{ic\|CONFIG_DEFAULT_SECURITY_APPARMOR}} を設定する代わりに、次の[[カーネルパラメータ\|カーネルブートパラメータ]]を設定しても効果があります: {{ic\|1=apparmor=1 security=apparmor}}。

	== 使用方法 ==		== 使用方法 ==

Kgx: /* インストール */ 情報を更新

2021-07-28T04:03:33Z

インストール: 情報を更新

← 古い版		2021年7月28日 (水) 13:03時点における版
24行目:		24行目:
	起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:		起動時にデフォルトのセキュリティモデルとして AppArmor を有効にするには、以下の[[カーネルパラメータ]]を設定:

			lsm=landlock,lockdown,yama,apparmor,bpf
	apparmor=1 security=apparmor

	{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat/sys/kernel/security/lsm}} です。		{{Note\|{{ic\|1=lsm=}} カーネル・パラメータは、Linux セキュリティ・モジュールの初期化順序を設定します。カーネルに設定された {{ic\|1=lsm=}} 値は {{ic\|1=zgrep CONFIG_LSM= /proc/config.gz}} で、現在の値は {{ic\|cat/sys/kernel/security/lsm}} です。