Apparmor Profile Fehler nach YasT (SuSE 11.1):

revealed · 21 März 2009

Hallo!

Ich habe YasT genutzt, und zwar den Assi zum Aktualisieren von Profilen. Jedenfalls passierte folgendes:

(Diese Config wurde geschrieben):

Code:

#define this to be where syslog-ng is chrooted                       

@{CHROOT_BASE} = ,

#include <tunables/global>
/sbin/syslog-ng {
  #include <abstractions/base>
  #include <abstractions/consoles>
  #include <abstractions/nameservice>

  capability chown,
  capability dac_override,
  capability fowner,
  capability fsetid,

  audit capability sys_admin,
  capability sys_rawio,
  capability sys_resource,
  capability sys_tty_config,
  /dev/log w,
  /dev/syslog w,
  /dev/tty10 rw,
  /dev/xconsole rw,
  /etc/hosts.allow r,
  /etc/hosts.deny r,
  owner /etc/ld.so.preload r,
  /etc/syslog-ng/* r,
  /sbin/syslog-ng mr,
  @{CHROOT_BASE}/var/lib/*/dev/log w,
  @{CHROOT_BASE}/var/lib/syslog-ng/syslog-ng.persist rw,
  @{CHROOT_BASE}/var/log/** w,
  @{CHROOT_BASE}/var/run/syslog-ng.pid rwk,
  @{PROC}/kmsg r,
}

Ergebnis war, dass Apparmor nicht mehr startete und zwar mit einer Fehlermeldung die nicht aussagekräftig war:

Code:

wild-thing:/home/disk # rcapparmor restart
Reloading AppArmor profiles AppArmor parser error in /etc/apparmor.d/sbin.syslog-ng at line 52: syntax error, unexpected TOK_SET_VAR, expecting TOK_VALUE
 Profile /etc/apparmor.d/sbin.syslog-ng failed to load
                                                                                                                  failed

Jetzt hab ich natürlich überlegt. Dann bin ich die Datei und hab mal alles auskommentiert und der reihe nach wieder angeschalten. So unterhalb der includes quasi kommentiert...

Ergebnis war: Nix.

Dann habe ich das CHROOT_BASE oben auskommentiert und schon kam eine andere Fehlermeldung worauf ich alle chroot_base zeilen auskommentiert hab und speziell auch diese ganz oben:

Code:

@{CHROOT_BASE} = ,

Da steht nur ein Komma in der Zeile.

Schon wollte Apparmor wieder starten.

Ich habe die Zeile ganz oben so abgeändert:

Code:

@{CHROOT_BASE} = /,

Und die CHROOT_BASE wieder von der Auskommentierung befreit: (Das File sieht jetzt so aus):

Code:

#define this to be where syslog-ng is chrooted                       

@{CHROOT_BASE} = /,

#include <tunables/global>
/sbin/syslog-ng {
  #include <abstractions/base>
  #include <abstractions/consoles>
  #include <abstractions/nameservice>

  capability chown,
  capability dac_override,
  capability fowner,
  capability fsetid,

  audit capability sys_admin,
  capability sys_rawio,
  capability sys_resource,
  capability sys_tty_config,
  /dev/log w,
  /dev/syslog w,
  /dev/tty10 rw,
  /dev/xconsole rw,
  /etc/hosts.allow r,
  /etc/hosts.deny r,
  owner /etc/ld.so.preload r,
  /etc/syslog-ng/* r,
  /sbin/syslog-ng mr,
  @{CHROOT_BASE}/var/lib/*/dev/log w,
  @{CHROOT_BASE}/var/lib/syslog-ng/syslog-ng.persist rw,
  @{CHROOT_BASE}/var/log/** w,
  @{CHROOT_BASE}/var/run/syslog-ng.pid rwk,
  @{PROC}/kmsg r,
}

Apparmor startet:

Code:

wild-thing:/home/disk # rcapparmor restart
Reloading AppArmor profiles                                                                                       done

Meine Frage ist:
Ist es richtig, dieses Value auf "/" zu stellen? Ist das ein Bug im YasT oder was gehört dort rein?

Vielen Dank für Hilfe!

Gruß,

R

Apparmor Profile Fehler nach YasT (SuSE 11.1):

revealed

Guru