Linux云服务器安全加固：AppArmor配置完全指南

一、AppArmor基础认知

AppArmor(Application Armor)是一种基于路径的强制访问控制(MAC)系统，它通过配置文件来限制特定程序可以访问的资源。与SELinux不同，AppArmor的学习曲线更为平缓，特别适合云服务器环境使用。

• 工作原理：通过为每个应用程序创建安全配置文件
• 主要优势：简单易用、不影响系统性能、支持学习模式
• 适用场景：Web服务器、数据库服务、云原生应用等

二、安装与基础配置

2.1 安装AppArmor

# Ubuntu/Debian系统
sudo apt update
sudo apt install apparmor apparmor-utils

# CentOS/RHEL系统
sudo yum install apparmor
sudo systemctl enable --now apparmor

2.2 检查安装状态

sudo apparmor_status

三、配置文件详解

AppArmor配置文件通常存放在/etc/apparmor.d/目录下，每个文件对应一个应用程序的访问控制规则。

3.1 配置文件结构示例

# 允许Nginx访问必要目录
/usr/sbin/nginx {
    # 包含通用规则
    include 
    
    # 允许读取配置文件
    /etc/nginx/** r,
    
    # 允许日志写入
    /var/log/nginx/* w,
    
    # 网络权限
    network inet tcp,
}

四、实战配置案例

4.1 为MySQL创建安全配置

1. 进入学习模式：sudo aa-genprof mysql
2. 执行典型数据库操作
3. 根据审计日志调整规则

4.2 常见问题解决

五、高级管理技巧

• 批量管理：使用aa-enforce和aa-complain命令
• 日志分析：配置/etc/apparmor/parser.conf获取详细日志
• 云集成：通过user-data在云初始化时自动配置