拒绝装入操作的AppArmor

Question

我怎样才能说服幻影允许这一行动？

[28763.284171] type=1400 audit(1344273461.387:192): apparmor="DENIED"
operation="mount" info="failed type match" error=-13 parent=7101
profile="lxc-container-with-nesting" name="/" pid=7112 comm="su"
flags="ro, remount, bind"

基本上，我试图重新挂载根文件系统只读(在LXC容器中嵌套的挂载命名空间中)。设置是围绕以以下结尾的位置安装的几个绑定挂载：

mount --rbind / /
mount -o remount,ro /

我试过以下每一个组合：

mount options=(ro, remount, bind) / -> /,

我能想到。添加规则audit mount,显示了我所做的所有其他挂载，但没有显示在/上操作的挂载。我能得到的最接近的是mount -> /,，它的IMHO太松了。甚至mount / -> /,也拒绝重新装入(而第一个绑定挂载是允许的)。

Answer 1

As：http://lwn.net/Articles/281157/

绑定的选项与原始的相同，因此只能绑定/的rw副本。除非你重新骑上你的全部..。我猜你不想这么做。

需要分两步。

mount --bind /vital_data /untrusted_container/vital_data

mount -o remount,ro /untrusted_container/vital_data