2

したがって、apparmor プロファイル (クライアントの委任) を必要とする django アプリケーションがあります。にある Python 仮想環境で実行され/opt/fact-virtual-environmentます。アプリケーション自体は次の場所にインストールされます/usr/share/fact

以下は、これまでの私のプロファイルです (主に aa-genprof ツールで構築されています)。

# Last Modified: Tue Jan 20 09:25:09 2015
#include <tunables/global>

/usr/bin/fact flags=(audit) {
  #include <abstractions/apache2-common>
  #include <abstractions/base>
  #include <abstractions/bash>


  capability setgid,
  capability sys_resource,

  /usr/local/lib/python2.7/dist-packages/**/ rm,
  /usr/local/lib/python2.7/dist-packages/** rm,
  /usr/local/lib/python2.7/site-packages/**/ rm,
  /usr/local/lib/python2.7/site-packages/** rm,
  /etc/apparmor.d/** r,
  #/usr/lib/python2.7/**[^/] r,

  /usr/bin/sudo Ux,

  #/usr/bin/strace ux,
  /bin/bash rix,
  /bin/dash rix,
  /bin/uname rix,
  /dev/tty rw,
  /etc/default/locale r,
  #/etc/nsswitch.conf r,
  #/etc/group r,
  #/etc/passwd r,
  /etc/environment r,
  /etc/login.defs r,
  /etc/lsb-release r,
  /etc/fact/fact.ini r,
  /etc/python2.7/sitecustomize.py r,
  /etc/security/pam_env.conf r,
  /lib{,32,64}/** mr,
  /opt/fact-virtual-environment/**/ mr,
  /opt/fact-virtual-environment/lib/python2.7/**/ mr,
  /opt/fact-virtual-environment/lib/python2.7/** mr,
  /opt/fact-virtual-environment/bin/python rix,
  /run/utmp rk,
  /sbin/ldconfig rix,
  /sbin/ldconfig.real rix,
  /usr/bin/fact rix,
  /usr/lib{,32,64}/** mr,
  /usr/share/fact/**/ r,
  /usr/share/fact/** r,
  /usr/share/pyshared/** r,
  /usr/share/pyshared/**/ r,
}

...そして/usr/bin/factコマンドは単純なラッパーです:

#!/bin/bash

## This script is for running the 'fact' command on staging/prod, it sudos to
## the 'fact' user before executing /opt/fact/bin/fact

## It is installed as '/usr/bin/fact'

PYTHONPATH=/usr/share/fact
PYTHON_BIN=/opt/fact-virtual-environment/bin/python
DJANGO_SETTINGS_MODULE=fact.settings.staging

if [ "$USER" != "fact" ];
then
  sudo -u fact $0 $*;
else
  PYTHONPATH=${PYTHONPATH} DJANGO_SETTINGS_MODULE=${DJANGO_SETTINGS_MODULE}  ${PYTHON_BIN} -m fact.managecommand $*;
fi

/usr/local/lib/*デバッグ試行でのセット全体のように、必要のないことがわかっている多くの読み取りアクセス許可を有効にしました。この全体について非常に不快に思うのは、実行service apparmor reload（または再起動）時にプロファイルがリロードされないように見えることです。サービスを再起動した場合と、aa-complain usr.bin.factその後にaa-enforce usr.bin.fact.

現在、コマンドを実行してシステム ログを確認すると、次のように表示されます。

Feb 11 15:08:48 spiffy kernel: [1228245.774660] type=1400 audit(1423620528.359:14142): apparmor="DENIED" operation="open" parent=12884 profile="/usr/bin/fact" name="/usr/local/lib/python2.7/site-packages/" pid=12885 comm="python" requested_mask="r" denied_mask="r" fsuid=111 ouid=0
Feb 11 15:08:48 spiffy kernel: [1228245.774855] type=1400 audit(1423620528.359:14143): apparmor="DENIED" operation="open" parent=12884 profile="/usr/bin/fact" name="/usr/local/lib/python2.7/dist-packages/" pid=12885 comm="python" requested_mask="r" denied_mask="r" fsuid=111 ouid=0
Feb 11 15:08:48 spiffy kernel: [1228245.775829] type=1400 audit(1423620528.359:14144): apparmor="DENIED" operation="open" parent=12884 profile="/usr/bin/fact" name="/usr/local/lib/python2.7/dist-packages/" pid=12885 comm="python" requested_mask="r" denied_mask="r" fsuid=111 ouid=0

..そして私の python アプリケーション barfs:

$ fact
Traceback (most recent call last):
  File "/usr/lib/python2.7/runpy.py", line 162, in _run_module_as_main
    "__main__", fname, loader, pkg_name)
  File "/usr/lib/python2.7/runpy.py", line 72, in _run_code
    exec code in run_globals
  File "/usr/share/fact/fact/managecommand.py", line 6, in <module>
    execute_from_command_line(sys.argv)
  File "/opt/fact-virtual-environment/local/lib/python2.7/site-packages/django/core/management/__init__.py", line 385, in execute_from_command_line
    utility.execute()
  File "/opt/fact-virtual-environment/local/lib/python2.7/site-packages/django/core/management/__init__.py", line 345, in execute
    settings.INSTALLED_APPS
  File "/opt/fact-virtual-environment/local/lib/python2.7/site-packages/django/conf/__init__.py", line 46, in __getattr__
    self._setup(name)
  File "/opt/fact-virtual-environment/local/lib/python2.7/site-packages/django/conf/__init__.py", line 42, in _setup
    self._wrapped = Settings(settings_module)
  File "/opt/fact-virtual-environment/local/lib/python2.7/site-packages/django/conf/__init__.py", line 98, in __init__
    % (self.SETTINGS_MODULE, e)
ImportError: Could not import settings 'fact.settings.staging' (Is it on sys.path? Is there an import error in the settings file?): cannot import name current_app

探している設定ファイルは次の場所にあります/usr/share/fact/fact/settings/staging.py

このアプリケーションをその apparmor プロファイルで実行できない理由について、私はまったく混乱していません。構成ファイルの設定で許可する必要があります。どうしたの？

4

2 に答える 2

2

あなたのプロファイルには、ディレクトリ /usr/local/lib/python2.7/site-packages/ を読み取る権限がありません

/usr/local/lib/python2.7/site-packages/ r を追加する必要があります。

現在のプロファイルが持っているアクセス許可は、 /usr/local/lib/python2.7/site-packages/ の下のすべてへのアクセスを許可しますが、ディレクトリ自体への実際のアクセスは許可しません

于 2015-02-11T23:40:20.283 に答える
1

すべての拒否は、この特定のディレクトリを探しています。/usr/local/lib/python2.7/dist-packages/

あなたのプロファイルには、このディレクトリのいくつかの子が含まれています:

/usr/local/lib/python2.7/dist-packages/**/ rm,
/usr/local/lib/python2.7/dist-packages/** rm,
/usr/local/lib/python2.7/site-packages/**/ rm,
/usr/local/lib/python2.7/site-packages/** rm,

ただし、この特定のディレクトリは含まれません。したがって、これをプロファイルに追加し、プロファイルをリロードして、もう一度やり直してください。

/usr/local/lib/python2.7/dist-packages/ r,

AppArmor は末尾/を使用して、管理者がディレクトリ リストの取得を許可するつもりだったのか、ファイルの読み取りを許可するつもりだったのかを判断します。

ありがとう

于 2015-02-11T23:34:53.143 に答える