Starten von AppArmor

Sie können jederzeit AppArmor starten und stoppen. Hierzu hat die SUSE Linux Distribution 10.1 ein Startskript /etc/init.d/boot.apparmor. Dieses Startskript kann auch mit rcapparmor aufgerufen werden. Hierbei handelt es sich lediglich um eine Verknüpfung in dem Verzeichnis /sbin auf das originale Skript. Bei der Enterprise-Version heisst dieses Skript /etc/init.d/boot.subdomain. Entsprechend kann dieses Skript auch mit dem Namen rcsubdomain aufgerufen werden. Diese Verknüpfung existiert aus Gründen der Rückwärtskompatibilität auch bei der SUSE Linux Distribution. Dieses Startskript unterstützt die folgenden Funktionen:

\# rcapparmor
Usage: /sbin/rcapparmor {start|stop|restart|try-restart|reload|force-reload|status|kill}

Mit rcapparmor start können Sie jederzeit AppArmor starten. Genauso können Sie mit rcapparmor stop jederzeit AppArmor anhalten. Dennoch müssen Sie beachten, dass nach dem Start von AppArmor zunächst kein Prozess durch AppArmor überwacht wird. Nur neugestartete Prozesse können von AppArmor überwacht werden. Nach einem rcapparmor stop ist das AppArmor-Kernel-Modul weiterhin geladen. Lediglich die Profile wurden gelöscht. Um auch das AppArmor-Kernel-Modul zu entladen, können Sie rcapparmor kill verwenden.

Den Zustand von AppArmor können Sie mit dem Argument status auslesen:

\# rcapparmor status
apparmor module is loaded.
50 profiles are loaded.
50 profiles are in enforce mode.
0 profiles are in complain mode.
Out of 57 processes running:
6 processes have profiles defined.
6 processes have profiles in enforce mode.
0 processes have profiles in complain mode.

Da AppArmor nur die Prozesse überwachen kann, für die es Profile besitzt und die nach dem Start von AppArmor geladen wurden, sollte AppArmor immer sehr früh zum Boot-Zeitpunkt gestartet werden. Dann kann AppArmor, entsprechende Profile voraussgesetzt, anschließend gestartete Prozesse überwachen. Um zu überprüfen, ob dies auf Ihrem System der Fall ist, können Sie in Yast den Runlevel-Editor starten oder das auf der Kommandozeile mit chkconfig überprüfen (siehe Abbildung 9.1.

Abbildung: Mit dem Runlevel-Editor in Yast können Sie AppArmor zum Bootzeitpunkt aktivieren.

# chkconfig boot.apparmor
boot.apparmor  on

Wird AppArmor so zum Bootzeitpunkt gestartet, werden die entsprechenden Applikationen überwacht.