這將會建立程式的近似設定檔或進行 autodep 的應用程式。您可以產生二進位執行檔和已解譯程序檔程式的近似設定檔。產生的設定檔之所以稱為 "近似"，是因為其並不完全包含所有的設定檔項目，其程式必須由 Novell AppArmor 所限制。最小的 autodep 近似設定檔必須至少具備一個基本 include 指示詞，其中包含大部份程式所需要的基本設定檔項目。針對某些類型的程式，autodep 會產生擴充的設定檔。您可以在列於指令行中的執行檔上循環呼叫 ldd(1) 以產生設定檔。

若要產生近似設定檔，請使用 autodep 程式。程式引數可以是程式的簡易名稱，也就是 autodep 搜尋外圍程序路徑變數所找到的名稱，或者是完整的路徑。程式本身可以是任何的類型 (ELF 二進位、外圍程序程序檔、Perl 程序檔等)，且 autodep 會產生近似設定檔，並透過之後的動態設定方法加強。

產生的近似 Novell AppArmor 設定檔所使用的命名慣例，是在程式的絕對路徑之後命名設定檔以寫入 /etc/apparmor.d 目錄，並以句號 (.) 字元取代路徑中的正斜線 (/) 字元。當您以 root 身份登入時，可以在終端機視窗中輸入以下的 autodep 一般格式：

autodep [ -d /path/to/profiles ] [program1 program2...]

如果您未輸入程式名稱或名稱，系統會提示您這些名稱。/path/to/profiles會覆寫 /etc/apparmor.d 的預設位置。

若要開始設定，您必須為應用程式中每個主要可執行服務建立設定檔 (其並不需要是其他已具有設定檔的子程式)。根據相關的應用程式來尋找這些程式。以下是尋找這些程式的一些策略：

complain 或學習模式工具會偵測是否有違反 Novell AppArmor 設定檔規則的情形，例如已設定程式未經設定檔允許而存取檔案。允許的違規情況仍會記錄下來。若要改善設定檔，請開啟 complain 模式，透過一組測試來執行程式以產生記錄事件來描述程式的存取需求，然後使用 Novell AppArmor 工具以執行記錄的後續處理，將記錄事件轉換成加強的設定檔。

手動啟用 complain 模式 (使用指令行) 並在設定檔的頂端加上旗標，使 /bin/foo 變成 /bin/foo flags=(complain)。若要使用 complain 模式，請開啟終端機視窗並以 root 使用者的身份輸入以下其中一行。

上述的每個指令都會啟動所列設定檔/程式的 complain 模式。指令可列出程式或設定檔。如果程式名稱並未包含整個路徑，則 complain 會搜尋程式的 $PATH。例如，complain /usr/sbin/* 會尋找與 /usr/sbin 中所有程式有關的設定檔，並將其置於 complain 模式，而 complain /etc/apparmor.d/* 會將 /etc/apparmor.d 中的所有設定檔置於 complain 模式。

enforce 模式工具會偵測是否有違反 Novell AppArmor 設定檔規則的情形，例如已設定程式未經設定檔允許而存取檔案。違規情形將會記錄下來且不被允許。系統會預設開啟 enforce 模式。如果您要讓 Novell AppArmor 設定檔控制已設定程式的存取，請開啟 complain 模式。可切換 enforce 與 complain 模式。

手動啟用 enforce 模式 (使用指令行) 並在設定檔的頂端加上旗標，使 /bin/foo 變成 /bin/foo flags=(enforce)。若要使用 enforce 模式，請開啟終端機視窗並以 root 使用者的身份輸入以下其中一行。

上述的每個指令都會啟動所列設定檔和程式的 enforce 模式。

如果您未輸入程式名稱或設定檔名稱，系統會提示您輸入一種名稱。/path/to/profiles會覆寫 /etc/apparmor.d 的預設位置。

引數可以是程式清單或設定檔清單。如果程式名稱並未包含整個路徑，則 enforce 會搜尋程式的 $PATH。例如，enforce /usr/sbin/* 會尋找與 /usr/sbin 中所有程式有關的設定檔，並將其置於 enforce 模式，而 enforce /etc/apparmor.d/* 會將 /etc/apparmor.d 中的所有設定檔置於 enforce 模式。

genprof (或產生設定檔) 為 Novell AppArmor 的設定檔產生公用程式。它會在指定的程式中執行 autodep，建立一個近似設定檔 (如果其中並不存在設定檔)，將其設定為 complain 模式，重新將其載入至 Novell AppArmor 中，然後提示使用者執行程式並使用其功能。其語法如下所示：

genprof [ -d /path/to/profiles ]  program

如果您要為 Apache 網頁伺服器程式 httpd2-prefork 建立設定檔，您必須在 root 外圍程序中執行以下步驟：

logprof 是一種互動式工具，可用來檢閱 syslog 項目中的學習或 complain 模式輸出，然後在 Novell AppArmor 安全性設定檔中產生新項目。

當您執行 logprof 時，它會開始掃描在學習或 complain 模式中產生的記錄檔，如果有任何現有設定檔集所未涵蓋的新安全性事件，它也會提供修改設定檔的建議。學習或 complain 模式會追蹤程式行為並將其輸入至 syslog。logprof 會使用此資訊來觀察程式行為。

如果限制程式在其他的程式中執行 fork 和 exec，logprof 將會發現該行為並詢問使用者在啟動子程序時要使用哪種執行模式。您可以選擇以下的執行模式來啟動子程序：ix、px 和 ux。如果存在子程序的個別設定檔，則預設的選項為px。如果不存在，則設定檔將預設為 ix。含個別設定檔的子程序上會執行 autodep，並在執行時載入至 Novell AppArmor 。

若存在 logprof，設定檔將會以這些變更進行更新。如果 AppArmor 模組正在執行，更新的設定檔將會重新載入，如果產生安全性事件的任何程序仍在 null-complain 設定檔中執行，則這些程序將會設定為在正確的設定檔中執行。

若要執行 logprof，請以 root 身份登入並在終端機視窗中輸入 logprof。您也可以在 logprof 中使用以下的選項：

logprof 會掃描記錄，並詢問您如何處理每個記錄的事件。每個問題都會提供 Novell AppArmor 規則的編號清單，可按下清單上的項目號碼將其加入。

依預設，logprof 會查閱 /etc/apparmor.d/ 中的所有設定檔，並掃描 /var/log/messages 中的記錄，因此在大部份的情況中，以 root 身份執行 logprof 將足以建立設定檔。

然而，搜尋已歸檔的記錄檔將會非常費時，例如程式的執行時間可能會超過記錄檔的週期 (當記錄檔已歸檔並啟動新的記錄檔時)。如果發生此狀況，您可以輸入 zcat -f `ls -1tr /var/log/messages*` | logprof -f -。

以下為 logprof 使用 httpd2-prefork 存取檔案 /etc/group 的範例。此範例使用 [] 來表示預設選項。

在此範例中，/etc/group 存取為 httpd2-prefork 存取名稱服務的一部份。適當的回應為 1，並使用於預先定義的 Novell AppArmor 規則集中。若選擇 1 至#include，則名稱服務套件將會分析所有關於 DNS 查詢的未來問題，並使設定檔較為固定，因此其中任何的 DNS 組態變更和相關的名稱服務設定檔套件都只需調整一次， 而不用修改許多的設定檔。

Profile:  /usr/sbin/httpd2-prefork
Path:     /etc/group
New Mode: r

[1 - #include <abstractions/nameservice>]
 2 - /etc/group
[(A)llow] / (D)eny / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

請選擇以下其中一種回應：

在設定 vsftpd 的範例中，我們可以看到此問題：

Profile:  /usr/sbin/vsftpd
Path:     /y2k.jpg
New Mode: r

[1 - /y2k.jpg]

(A)llow / [(D)eny] / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

其中有許重要的項目可討論。首先，請注意 vsftpd 會詢問目錄樹最上層的路徑項目，即時 SUSE Linux 中的 vsftpd 依預設是 /srv/ftp 中的 FTP 檔案。這是因為 httpd2-prefork 會使用 chroot，而且在 chroot jail 內部的程式碼區域中，Novell AppArmor 會依據 chroot 環境來查看檔案存取，而不是全域絕對路徑。

第二個重要的項目是，您可能要授與 FTP 在目錄中所有 JPEG 檔案的讀取權限，因此您可能會使用 Glob w/Ext 和建議的 /*.jpg 路徑。這樣做將會取消之前授與個別 .jpg 檔案存取權限的所有規則，並預先制訂關於存取 .jpg 檔案的任何問題。

最後，您可能會需要授與更多 FTP 檔案的一般存取權限。如果您在最後的項目中選擇 Glob，logprof 將會以 /* 來取代建議的 /y2k.jpg 路徑。或者您可能要授與整個目錄樹更多的存取權限，您可以使用 新的路徑選項並輸入 /**.jpg (授與整個目錄樹中所有 .jpg 檔案的存取權限) 或 /** (授與目錄樹中所有檔案的存取權限)。

以上為讀取權限的處理方法。寫入權限也很類似，不過在使用寫入權限的一般表示式時您可能需要特別謹慎。

執行存取的處理程序相當複雜。您必須決定要授與哪一種執行許可權：

在以下的範例中，/usr/bin/mail 郵件用戶端已完成設定且 logprof 已發現 /usr/bin/mail 會執行 /usr/bin/less 做為協助應用程式以"呼叫"較長的郵件訊息。因此，其會提供以下的提示：

/usr/bin/nail -> /usr/bin/less
(I)nherit / (P)rofile / (U)nconstrained / (D)eny

	提示
/usr/bin/mail 的實際可執行檔將會變成 /usr/bin/nail，這並不是打字錯誤。

/usr/bin/less 程式可讓您在長度超過一個畫面的文字中進行捲動，這也是 /usr/bin/mail 所使用的方法。less 實際上也是一種強大的程式，可使用許多其他的協助應用程式，例如 tar 和 rpm。

	提示
在 tar ball 或 RPM 檔案中執行 less 可顯示這些容器的儲存清單。

在讀取郵件訊息時您可能不想要自動執行 rpm (這將可能直接導致 Microsoft* Outlook 樣式的病毒攻擊，因為 rpm 具有安裝並修改系統程式的能力) ，在此情況中，最好的選擇就是使用 Inherit。這可使程式不會從 /usr/bin/mail 設定檔之下執行的內容中執行。這會產生兩種結果：

在其他的情況中，您可能會需要使用 Profile 選項。這會在 logprof 中產生兩種效果：

最後，您可能需要指定 Unconfined 以授與子程序非常強大的存取權限。這會將 ux 寫入上層設定檔，使得子程式在執行時不會套用任何的 Novell AppArmor 設定檔。這表示該執行將不會受到任何保護，且只有在確實需要時才使用。

這是一種 vim 文字編輯器的語法色彩顯示檔案，可使用顏色來強調各種 Novell AppArmor 的功能。使用 vim 以及 Novell AppArmor 語法模式，您可以夠過色彩來了解設定檔的含意。在終端機視窗中鍵入 vim，以便使用 vim 來檢視和編輯設定檔。

當您在 vim 中編輯 Novell AppArmor 設定檔時，若要啟用語法色彩顯示，請使用 :syntax on 和 :set syntax=subdomain 指令。此外，您也可以將這些行置於 ~/.vimrc 檔案中：

syntax on
set modeline
set modelines=5

當您啟用此功能時，vim 會以顏色來標示設定檔的行：

	注
當您在 .vimrc 檔案中使用這些行時可能會產生安全性的風險，因為它會讓 vim 自動信任編輯之檔案中提供的語法模式。這可能會讓攻擊者傳送以 vim 開啟的檔案，這可能會產生一些危險的情況

請使用 apparmor.vim 和 vim man 頁面以及 vim 編輯器中的 :help 語法，以取得 vim 關於語法反白的協助。Novell AppArmor 語法存放在 /usr/share/vim/current/syntax/apparmor.vim。

unconfined 指令會檢查系統上開啟的網路連接埠，並比較已在系統中載入設定檔集，與不具 Novell AppArmor 設定檔的報告網路服務。它需要 root 權限，因此不會受到 Novell AppArmor 設定檔的限制。

unconfined 必須以 root 的身份來執行，以擷取 proc 檔案系統的程序可執行連結。在以下情況中此程式很容易發生錯誤：

	注
此程式僅列出使用 TCP 和 UDP 的程序。總之，此程式並不適用於做為鑑識之用，只能用來輔助設定所有的網路存取程序。

如需更多關於 Novell AppArmor 技術和安全性的資訊，請參閱以下報告：