Как при помощи AppArmor выдать доступ только к одной папке?

Question

[dan0sss]

Есть скрипт /server/script.sh
Его содержимое: cat /var/log/abc
Конфиг AppArmor:

#include <tunables/global>

/server/script.sh {
  #include <abstractions/base>
  
  deny /*** rwk,
  
  /server/script.sh r,
  /server/** rw,
}

Нужно, чтобы у /server/script.sh был доступ только к папке /server, но при выполнении скрипта с этим конфигом он спокойно читает содержимое из /var/log

Answer 1

[jcmvbkbc]

Нужно, чтобы у /server/script.sh был доступ только к папке /server, но при выполнении скрипта с этим конфигом он спокойно читает содержимое из /var/log

Невозможно на уровне ядра ОС отличить выполнение скрипта от выполнения интерпретатора этого скрипта. Ядро выполняет /bin/sh (или что у этого /server/script.sh написано в шебанге), а не сам /server/script.sh.