# 查看 AppArmor 状态
sudo aa-status

# 查看已加载的 AppArmor 配置文件
sudo apparmor_status

# 检查 Docker 默认 AppArmor 配置
docker inspect container_name | grep -A2 AppArmor
# "AppArmorProfile": "docker-default"

# 1. 创建配置文件 /etc/apparmor.d/docker-nginx
#include 

profile docker-nginx flags=(attach_disconnected,mediate_deleted) {
  #include 

  # 网络访问
  network tcp,
  network udp,

  # 文件访问
  /var/log/nginx/** rw,
  /etc/nginx/** r,
  /usr/share/nginx/** r,

  # 禁止的操作
  deny /proc/** w,
  deny /sys/** w,
}

# 2. 加载配置
sudo apparmor_parser -r -W /etc/apparmor.d/docker-nginx

# 3. 使用自定义策略
docker run --security-opt apparmor=docker-nginx nginx

# 4. 禁用 AppArmor
docker run --security-opt apparmor=unconfined nginx

# 限制文件访问
deny /etc/shadow r,
deny /root/** rw,
deny /proc/sysrq-trigger w,

# 只允许读
/var/www/** r,
/etc/nginx/** r,

# 允许写日志
/var/log/nginx/*.log rw,

# 查看文件的安全上下文
ls -Z
# system_u:object_r:container_file_t:s0  file.txt

# 查看进程的安全上下文
ps -eZ
# system_u:system_r:container_t:s0:c1  pid  cmd

# 启用 SELinux 标签
docker run --security-opt label=type:container_t nginx

# 启用 SELinux 级别
docker run --security-opt label=level:s0:c100,c200 nginx

# 禁用 SELinux 隔离
docker run --security-opt label=disable nginx

# 使用 SELinux 挂载标签
docker run -v /data:/data:Z nginx    # Z = 共享标签
docker run -v /data:/data:z nginx    # z = 私有标签

# 查看容器相关的 SELinux 设置
getsebool -a | grep container
# container_connect_any --> off
# container_use_cephfs --> off

# 允许容器连接任意端口
sudo setsebool container_connect_any on

services:
  app:
    image: myapp
    security_opt:
      # AppArmor
      - apparmor=my-custom-profile
      - apparmor=unconfined

      # SELinux
      - label=type:container_t
      - label=level:s0:c100
      - label=disable

    # SELinux 挂载标签
    volumes:
      - /host/data:/data:Z   # 共享标签
      - /host/cache:/cache:z # 私有标签

# 1. 分析应用行为
sudo aa-genprof /usr/bin/nginx

# 2. 生成基础配置
sudo aa-autodep nginx

# 3. 加载配置
sudo apparmor_parser -r /etc/apparmor.d/usr.bin.nginx

# 4. 设置为强制模式
sudo aa-enforce /usr/bin/nginx

# 1. 创建自定义模块
sepolicy generate --init /path/to/app

# 2. 编译模块
make -f /usr/share/selinux/devel/Makefile myapp.pp

# 3. 安装模块
semodule -i myapp.pp

# 4. 设置上下文
semanage fcontext -a -t myapp_t /path/to/app(/.*)?
restorecon -Rv /path/to/app

# AppArmor 日志
sudo journalctl -f | grep apparmor

# SELinux 日志
sudo ausearch -m avc -ts recent
sudo sealert -a /var/log/audit/audit.log

# 临时允许所有 SELinux
sudo setenforce 0   # Permissive 模式
sudo setenforce 1   # Enforcing 模式

# 永久关闭 SELinux（不推荐）
# 编辑 /etc/selinux/config
# SELINUX=disabled