aa-status は、現時点での AppArmor の制限について、様々な内容をレポートします。

aa-unconfined はお使いのシステムで動作しているアプリケーションのうち、ネットワーク接続を待ち受けていながら、 AppArmor のプロファイルで保護されていないものを検出します。このツールに関する詳細については、 33.7.3.12項 「aa-unconfined: 保護されていないプロセスの識別」 をお読みください。

aa-autodep はプロファイルに対する基本フレームワークで、本番環境で使用する前に肉付けを行う必要があるものです。生成されたプロファイルを読み込んで不平モードに設定すると、 AppArmor のルールでカバーされていないアプリケーションの挙動をレポートします。このツールに関する詳しい使い方については、 33.7.3.1項 「aa-autodep: 近似プロファイルの作成」 をお読みください。

aa-genprof は基本的なプロファイルを作成して、そのプロファイルを元にしてアプリケーションを実行し、プロファイルを改良するよう求めて、 AppArmor ポリシーで配慮する必要のある箇所をイベントとして報告します。アプリケーションの実行時に生成されたそれぞれのログイベントに対しては質問が表示され、どのように扱うべきかを判断することになります。プロファイルの生成が終わったあとは、そのまま強制モードに配置されます。このツールの詳しい使い方については、 33.7.3.8項 「aa-genprof: プロファイルの生成」 をお読みください。

aa-logprof は、アプリケーションが不平モードと強制モードの両方の制限で生成したログ項目を読み込んで確認することができるツールです。プロファイル内に新しい項目を生成する支援を行います。このツールの詳しい使い方については、 33.7.3.9項 「aa-logprof: システムログのスキャン」 をお読みください。

aa-easyprof は AppArmor のプロファイル生成に関して使いやすいインターフェイスを提供します。 aa-easyprof では雛形とポリシーグループを利用して、アプリケーションのプロファイルを素早く作成できるようにします。ただし、このツールはポリシーの生成支援までは行いますが、雛形とポリシーグループ、そして抽象化の仕組みに大きく依存していることに注意してください。 aa-genprof や aa-logprof と比較すると、 aa-easyprof では制限の緩いプロファイルを作成することになります。

aa-complain は AppArmor のプロファイルを強制モードから不平モードに切り替えます。プロファイル内に書かれたルールへの違反はログ内に記録されるものの、プロファイルは強制されません。このツールに関する詳しい使い方については、 33.7.3.2項 「aa-complain: 不平モード (学習モード) への突入」 をお読みください。

aa-enforce は AppArmor のプロファイルを不平モードから強制モードに切り替えます。プロファイル内に書かれたルールへの違反は記録され拒否されるようになり、結果としてプロファイルを強制することになります。この津ルールに関する詳しい使い方については、 33.7.3.6項 「aa-enforce: 強制モードへの突入」 をお読みください。

aa-disable は、 1 つもしくは複数の AppArmor プロファイルに対して、強制モードを無効化することができます。このコマンドはカーネルからプロファイルの読み込みを解除するだけでなく、 AppArmor の起動時に読み込まれないようにもします。 aa-enforce および aa-complain を使用することで、この動作を変更することができます。

aa-exec は指定した AppArmor プロファイルやネームスペースで制限した状態でプログラムを起動します。プロファイルとネームスペースの両方を指定すると、コマンドは新しいポリシーネームスペース内のプロファイルで制限されることになります。ネームスペースのみを指定した場合は、現在の制限のプロファイル名を使用します。プロファイルもネームスペースも指定しない場合は、標準的なプロファイル適用 (つまり aa-exec を使用せずに実行した場合) と同じ動作になります。

aa-notify はお使いのデスクトップ環境内に AppArmor の通知を表示することのできる、使いやすいユーティリティです。指定した日数の直近の通知に関して、概要を表示するように設定することもできます。詳しくは 33.7.3.13項 「aa-notify」 をお読みください。

cron で定期的に実行されるタイプのプログラムです。これらのプログラムは様々な情報源から入力を受け付け、特別な (場合によっては root の) 権限で動作します。たとえば cron では /usr/sbin/logrotate を実行することがありますが、これはシステムログのローテーション (一定時間以上古いログを廃棄する) のほか、圧縮やメール送信などを行うことがあります。これらの種類のプログラムを見つける方法について、詳しくは 29.3項 「cron ジョブへの予防接種」 をお読みください。

CGI スクリプトや PHP のページ、その他の複雑な Web アプリケーションなど、 Web ブラウザ経由で実行されるプログラムです。これらの種類のプログラムを見つける方法について、詳しくは 29.4.1項 「Web アプリケーションへの予防接種」 をお読みください。

ネットワークポートを開いて通信するプログラム (クライアントやサーバ) です。電子メールクライアントや Web ブラウザなどのユーザクライアントでも、権限を仲介していることになります。これらのプログラムは、ユーザのホームディレクトリに書き込むことのできる権限を保有していて、場合によっては不正な Web サイトや電子メール内に埋め込まれた不正なコードにアクセスすることで、潜在的に攻撃を受ける可能性があるためです。これらの種類のプログラムを見つける方法について、詳しくは 29.4.2項 「ネットワークエージェントに対する予防接種」 をお読みください。