プロファイル内に起動時の情報を含めるため、プロファイル作業前に アプリケーションを停止します。対象のアプリケーションやデーモンが、 動作していない状態であることを確認してください。

アプリケーションを停止するには、端末ウインドウを開いて root になり、 rcプログラム名 stop (または /etc/init.d/プログラム名 stop) を実行します。 プログラム名 にはプロファイル対象の プログラムの名前を指定してください。

YaST を起動し、 AppArmor+AppArmor プロファイルウイザード を選択します。

アプリケーションの名前を入力するか、もしくはプログラムの場所を指定します。

作成 を押します。 aa-autodep と 呼ばれる AppArmor ツールが起動し、プロファイル対象のプログラムに対して静的な 分析が行なわれます。その後、必要なプロファイルが AppArmor モジュールとして 読み込まれます。 aa-autodep について、詳しくは 23.6.3.1項 「aa-autodep—概要プロファイルの作成」 をお読みください。

作成するプロファイルが、既にローカルのプロファイルリポジトリ内に存在する 場合 (詳しくは 21.1項 「ローカルリポジトリの使用」 をお読みください) や、外部のプロファイルリポジトリ内に存在する場合 (詳しくは 第21章 AppArmor のプロファイルリポジトリ をお読みください) 、もしくはどこにも存在していない場合によって、それぞれ 異なる手順を実施します:

/etc/apparmor/profiles/extra ディレクトリにある ローカルプロファイルリポジトリ内に、既にプロファイルが存在する場合、 YaST は有効化されていないプロファイルが存在する旨を表示し、これを ベースとして使用するか、もしくはこれをそのまま使用するかを尋ねます。

もちろんこれらのプロファイルを使用せず、何もない状態からプロファイルを 作成することもできます。いずれの場合とも、 ステップ 7 に読み進めてください。

外部プロファイルリポジトリ内に既にプロファイルが存在していて、既に リポジトリ内に存在するプロファイルをはじめて作成しようとしている場合は、 サーバへのアクセス設定を行なうことができます。設定は下記のようにして 行ないます:

1. まずは外部リポジトリへのアクセスを有効にするか、もしくはこの決定を 先延ばしにするかを選択します。 リポジトリの有効化 を選択すると、次のステップではアクセスモード (ダウンロード／アップロード) の選択を行ないます。先延ばしにしたい場合は 後で確認 を押し、 ステップ 7 に進んでください。

2. プロファイルが配置されているリポジトリサーバについて、このアカウント 情報 (ユーザ名とパスワード) を入力し、サーバの登録を行ないます。

3. あとは ステップ 7 の手順に従って プロファイルを使用してください。

プロファイルを行ないたいアプリケーションを起動します。

可能な限りアプリケーションの機能を多く使用して、学習モードからその アプリケーションが必要とするファイルやディレクトリへのアクセスを判断 できるようにします。なお、アプリケーションの再起動や停止についても 学習させてください。 AppArmor では他のプログラム同様、これらのイベントに ついても処理を行なう必要があるためです。

システムログをスキャンして AppArmor イベントを検出 を押し、 学習モードでのログファイルを処理させます。この処理では、セキュリティ プロファイルを作成するにあたって、ウイザードから多数の質問が表示される ことがあります。

ハットの追加を求められた場合は、 第24章 ハット変更を利用した Web アプリケーションのプロファイル作成 をお読みください。

なお、質問は大きく分けて 2 つの種類に分けられます:

それぞれの質問に対して答えることで、プロファイル内にリソースへのアクセスか プログラムの追加を行なうことになります。それぞれの選択について、詳しくは 図22.2「学習モードの例外: 特定のリソースに対するアクセス制御」 と 図22.3「学習モードの例外: 項目に対する実行許可の設定」 をお読みください。 続くステップでは、これらの質問に対する回答の説明を記述します。

	処理オプションの違いについて
処理している項目の種類によって、利用可能なオプションが異なります。

図22.2 学習モードの例外: 特定のリソースに対するアクセス制御¶

図22.3 学習モードの例外: 項目に対する実行許可の設定¶

AppArmor プロファイルウイザード はプロファイル対象の アプリケーションがアクセスしたディレクトリパスを提案する (図22.2「学習モードの例外: 特定のリソースに対するアクセス制御」) か、もしくはそれぞれの 項目に対して実行許可の設定を求めます (図22.3「学習モードの例外: 項目に対する実行許可の設定」) 。

アプリケーションにあるさらなる機能を試す必要がある場合は、上記までの 手順を繰り返し実施します。

全てが完了したら 完了 を押します。続いてローカルのプロファイル セットに対して、変更点を保存するかどうかを選択します。以前の手順で、お使いの プロファイルを外部のプロファイルリポジトリにアップロードするように選択して いた場合は、作業内容に関する短い変更履歴情報を入力し、アップロード作業を 行ないます。以前の手順でプロファイルをアップロードするかどうかを選択 しなかった場合は、 YaST はここで再度プロファイルのアップロード用に アカウントを作成するかどうか、および今すぐアップロードするかどうかを それぞれ選択することができます。

プロファイル作成ウイザード を終了すると、プロファイルは すぐにローカルとリポジトリサーバ (アップロードの設定を行なっていれば) の 両方に保存されます。また、プロファイルは AppArmor のモジュール内に読み込まれます。

YaST を起動し、 AppArmor+手作業でプロファイルを追加 を選択します。

プロファイルを作成するアプリケーションを、お使いのファイルシステム内から 選択します。

アプリケーションを選択したあとは 開く を押します。 AppArmor プロファイルダイアログ 内には、 基本的な構造だけを持つ何もないプロファイルが表示されます。

AppArmor プロファイルダイアログ 内では、 AppArmor のプロファイル を追加／編集／削除することができます。それぞれ対応するボタンを押して作業を 行なってください。また、 22.3.1項 「項目の追加」, 22.3.2項 「項目の編集」, 22.3.3項 「項目の削除」 についてもそれぞれお読みください。

作業が完了したら 完了 を押せば完了です。

YaST を起動し、 AppArmor+プロファイルの編集 を選択します。

プロファイル済みのアプリケーション一覧が表示されますので、編集したいプロファイルを 選択します。

次へ を押します。 AppArmor プロファイルダイアログ ウインドウ内にプロファイルが表示されます。

AppArmor プロファイルダイアログ 内では、 AppArmor のプロファイル を追加／編集／削除することができます。それぞれ対応するボタンを押して作業を 行なってください。また、 22.3.1項 「項目の追加」, 22.3.2項 「項目の編集」, 22.3.3項 「項目の削除」 についてもそれぞれお読みください。

作業が完了したら、 完了 を押します。

ポップアップが表示されたら、 はい を押します。 するとプロファイルへの変更が保存され、 AppArmor のプロファイルセットが 再読み込みされます。

YaST を起動し、 AppArmor+プロファイルの削除 を選択します。

削除するプロファイルを選択します。

次へ を押します。

ポップアップウインドウが開いたら はい を押します。 するとプロファイルが削除され、 AppArmor のプロファイルセットが再読み込みされます。

YaST を起動し、 AppArmor+プロファイルの更新ウイザード を選択します。

プロファイルの更新ウイザード (aa-logprof) では、学習モードの ログファイルを読み込んで処理します。この処理時間中は、セキュリティプロファイルに 正しく反映させるための問い合わせメッセージが、数多く表示されます。このときの 選択は、新しいプロファイルを作成する際と同じように実施してください。詳しくは 22.1項 「ウイザードを使用したプロファイルの追加」 内の ステップ 9 をお読みください。

作業が完了したら 完了 を押します。続いて表示される ポップアップで はい を選択すると、 プロファイルの更新ウイザード を終了することができます。 これでプロファイルが保存され、 AppArmor モジュール内に読み込まれるようになります。