كيفية إعداد ملفات تعريف AppArmor للتطبيقات المخصصة على نظام SUSE SLES 15

ملاحظة الإصدار، تم التحقق منها في 6 أكتوبر 2026: ينطبق هذا الإجراء على نظام SUSE Linux Enterprise Server (SLES) 15 SP7 وأنظمة SLE 15 المتوافقة التي تستخدم AppArmor. تُوثّق SUSE أن AppArmor مُثبّت ويعمل افتراضيًا على SLES 15 SP7. يُزيل SUSE Linux 16.0 نظام AppArmor ويستخدم SELinux بدلاً منه، لذا لا تُطبّق الأوامر أدناه على الإصدار 16.0؛ استخدم دليل مقارنة SUSE Linux 16.0 من SUSE ووثائق SELinux الخاصة بهذا الإصدار.

AppArmor هو وحدة أمان لنظام لينكس تُقيّد صلاحيات الوصول التي يُمكن للبرنامج الوصول إليها. الملف التعريفي هو السياسة المُرفقة بملف تنفيذي، حيث يُمكنه السماح أو منع الوصول إلى الملفات والصلاحيات والموارد الأخرى. يُرشدك هذا الدليل من مرحلة تأكيد النظام الأساسي إلى تطبيق ملف تعريفي مُختَبَر، مع مرحلة تعلّم تدريجية لضمان تقليل احتمالية تعطل التطبيق المُخصّص بشكل غير متوقع.

ما الذي يجب عليك تحضيره قبل إنشاء ملف تعريف؟

استخدم فترة اختبار أو صيانة إذا كان التطبيق مهمًا. ستحتاج إلى حساب مسؤول sudo، ومسار الملف التنفيذي الفعلي للتطبيق، وقائمة بالمهام الاعتيادية التي يؤديها. يشمل ذلك العمليات التي تعمل في الخلفية، وبدء التشغيل والإيقاف، وإعادة تحميل الإعدادات، والتحميل أو التصدير، والمهام المجدولة، وأي وظائف متصلة بالشبكة. لا يمكن لملف تعريف تم الحصول عليه من تشغيل واحد استنتاج الميزات التي لا تستخدمها أبدًا.

اعرف أين يقرأ التطبيق البيانات ويكتبها، والحساب الذي يُشغّله، وما إذا كان يُشغّل عمليات مساعدة. تجنّب الاختبار على بيانات الإنتاج الحساسة قدر الإمكان. سجّل حالة الخدمة الحالية واحتفظ بنسخة من أي ملف تعريف موجود قبل إجراء أي تغييرات.

كيف يمكنني التأكد من توفر AppArmor في هذا الإصدار من SUSE؟

تحقق أولاً من إصدار نظام التشغيل وحالة AppArmor الحالية:

cat /etc/os-release
sudo aa-status

تأكد من أن النظام يُشير إلى SLES 15 SP7 أو إصدار آخر تدعم وثائقه AppArmor. في SLES 15 SP7، يُشير دليل SUSE إلى أن AppArmor مُثبّت ويعمل افتراضيًا. في حال عدم وجوده، تُوثّق SUSE عملية التثبيت sudo zypper in -t pattern apparmor. إذا كانت الخدمة مُثبّتة ولكنها لا تعمل، فتحقق من سياسة بدء تشغيل النظام وحالة الخدمة قبل تفعيلها؛ لا تُعطّل وحدة الأمان لتجاوز مشكلة في التطبيق. راجع دليل بدء استخدام AppArmor ودليل أدوات سطر أوامر AppArmor لـ SLES 15 SP7 للحصول على تفاصيل خاصة بالإصدار.

كيف يمكنك تحديد الملف التنفيذي الذي يجب على AppArmor تحليله؟

ترتبط ملفات تعريف AppArmor بمسارات البرامج، لذا حدد الملف التنفيذي الفعلي بدلاً من افتراض أن الأمر الذي يكتبه المستخدم هو الملف الثنائي. لتشغيل أمر متاح عبر مسار shell، نفّذ ما يلي:

command -v myapp

بالنسبة لأي خدمة، افحص تعريف وحدتها وتفاصيل العملية باستخدام الأدوات المتاحة على نظامك. قد يؤدي برنامج التشغيل النصي أو الرابط الرمزي أو المفسر إلى ملف تنفيذي مختلف عن المتوقع. استخدم المسار الصحيح عند readlink -f /path/to/myappالحاجة. استبدل المسار المطلق الذي تم التحقق منه في كل أمر أدناه؛ /usr/local/bin/myappهذا مجرد مثال.

قبل البدء في إنشاء ملف تعريف، تحقق مما إذا كان ملف التعريف موجودًا بالفعل في المسار المحدد /etc/apparmor.d. تخزن SUSE ملفات التعريف هناك، وعادةً ما يستبدل اسم الملف الشرطات المائلة في مسار الملف التنفيذي بنقاط. على سبيل المثال، /usr/local/bin/myappيشير المسار إلى اسم ملف مثل usr.local.bin.myapp. لا تقم باستبدال ملف تعريف موجود من قِبل المورد أو ملف تعريف محلي دون مراجعته. كما تعرض SUSE ملفات تعريف إضافية في المسار المحدد /usr/share/apparmor/extra-profiles؛ قد يوفر ملف التعريف المناسب نقطة انطلاق، ولكنه لا يزال بحاجة إلى مراجعة لتطبيقك وإصدارك ( راجع وثائق مستودع ملفات تعريف SUSE ).

كيف يمكنك إنشاء ملف تعريف أولي بأمان؟

قم بتشغيل أداة إنشاء الملف الشخصي كمسؤول، باستخدام المسار الكامل للملف التنفيذي:

sudo aa-genprof /usr/local/bin/myapp

aa-genprofيُنشئ البرنامج ملف تعريف مبدئيًا ويضعه في وضع المراقبة أثناء استخدامه. يسجل وضع المراقبة انتهاكات السياسة ولكنه لا يمنع العملية المرفوضة، مما يسمح لك بمراقبة السلوك قبل تطبيق السياسة. اتبع تعليمات الأداة؛ بعد استخدام التطبيق، استخدم خيار المسح لمراجعة الأحداث المسجلة. تصف SUSE هذه العملية بأنها تكرارية، وليست ضمانًا بأن ملف التعريف المقترح تلقائيًا كامل.

ما هي الإجراءات التي يجب عليك اختبارها، وأين تجد حالات الرفض؟

أثناء تفعيل وضع الشكاوى، استخدم التطبيق كالمستخدم العادي. اختبر سير العمل الاعتيادي والمهام الأقل تكرارًا ولكنها مدعومة، بما في ذلك عمليات القراءة والكتابة والتحميل وإنشاء التقارير وإعادة تشغيل الخدمات والمهام المساعدة. اجعل الاختبار واقعيًا: فقد يستخدم البرنامج ملفات أو عمليات فرعية مختلفة للتصدير عن تلك المستخدمة في شاشته الرئيسية.

راجع رسائل النواة وسجل التدقيق لأحداث AppArmor:

sudo journalctl -k | grep -i apparmor

بحسب إعدادات تسجيل النظام، يشير SUSE أيضًا إلى /var/log/audit/audit.logو journalctl | grep -i apparmorو dmesg -T. عدم وجود تطابق في أحد سجلات العرض لا يثبت صحة الملف التعريفي: تحقق من تشغيل التطبيق، وتحقق من خدمة التسجيل ومواقع السجلات الأخرى الموثقة. لا تعتبر الملف التعريفي المُنشأ مُختبَرًا لمجرد بدء تشغيل التطبيق مرة واحدة.

كيف ينبغي عليك مراجعة الملف الشخصي وتحسينه؟

بصفتك مستخدمًا ذا صلاحيات الجذر، استخدم هذه الأداة aa-logprofلمعالجة الأحداث المسجلة والإجابة على المطالبات:

sudo aa-logprof

لكل حدث، اسأل عما إذا كان الوصول ضروريًا لمهمة تطبيق موثقة. اسمح فقط بالمسار المحدد، أو نمط الوصول، أو الإمكانية التي يتطلبها البرنامج. قد يُتوقع قراءة ملف تكوين؛ وقد تشير الكتابة غير المخطط لها إلى دليل غير ذي صلة إلى خطأ أو مكون منفصل يحتاج إلى فحص. القواعد العامة جدًا تُضعف التقييد، بينما القواعد الضيقة جدًا قد تُعطل مهامًا صحيحة.

• لا تقبل كل طلب تلقائيًا أو تمنح صلاحية وصول شاملة لجميع الملفات.
• تجنب استخدام الأحرف البديلة الواسعة والقدرات غير الضرورية؛ فضل المسار الدقيق وأقل عدد ممكن من الأذونات المطلوبة.
• كرر دورة عبء العمل ومراجعة السجلات بعد تعديلات الملف الشخصي. قم بتضمين عمليات الخدمة ومهام الخلفية بشكل منفصل.
• اجعل التغييرات محصورة في التطبيق المستهدف؛ لا تقم بإجراء تعديلات غير ذات صلة على الملف الشخصي لإسكات الضوضاء.

يُعدّ الملف التعريفي حدًا للتحكم في الوصول، لذا يجب الاستجابة لأي طلب بناءً على سلوك التطبيق ومتطلبات التشغيل، وليس لمجرد ظهوره في سجل النظام. يشرح دليل أدوات سطر الأوامر لنظام SUSE SLES 15 SP7 AppArmor هذه الأدوات، كما توفر SUSE AppArmor روابط مرجعية لدعم صفحات الدليل ذات الصلة aa-genprof، بما aa-logprofفي ذلك [أدخل الروابط هنا apparmor_parser].

متى يجب عليك تغيير الملف الشخصي إلى وضع الإنفاذ؟

انتقل إلى مرحلة تطبيق السياسة فقط بعد نجاح عمليات سير العمل التمثيلية ومراجعة الأحداث المشروعة. قم بتطبيق ملف تعريف التطبيق، وأعد تحميل مجموعة ملفات تعريف AppArmor، وأعد تشغيل التطبيق أو الخدمة لكي تستخدم العملية الجارية السياسة المحدثة.

sudo aa-enforce /usr/local/bin/myapp
sudo systemctl reload apparmor

تُشير SUSE إلى أن إعادة تحميل الملفات الشخصية تُعيد قراءتها /etc/apparmor.d؛ وقد يلزم إعادة تشغيل برنامج قيد التشغيل قبل أن يسري مفعول الملف الشخصي المُحدَّث. لذا، يُرجى التنسيق مع مالك الخدمة لإعادة التشغيل هذه، واستخدام أمر إدارة الخدمة الصحيح للتطبيق. ثم كرِّر عمليات سير العمل الرئيسية الخاضعة للتنفيذ، بدلاً من افتراض أن نجاح وضع الشكوى يُثبت أنها ستعمل دون تغيير.

كيف يمكنك التحقق من النتيجة والتعافي من التراجع؟

تحقق من حالة الملف الشخصي وابحث عن أي رفض جديد بعد الاختبار:

sudo aa-status
sudo journalctl -k | grep -i apparmor

تأكد من تحميل الملف التعريفي المطلوب وتفعيله في وضع الإنفاذ، وأن الخدمة تعمل بشكل سليم، وأن كل مهمة مطلوبة تعمل بشكل صحيح. إذا منع الإنفاذ عمليةً مشروعة، فاجمع الحدث ذي الصلة، وراجع ما إذا كان الوصول مطلوبًا بالفعل، ثم حسّن الملف التعريفي بدقة. لإجراء تشخيص سريع ومُحكم، sudo aa-complain /usr/local/bin/myappيمكنك وضع ملف تعريف البرنامج في وضع الإبلاغ عن المشاكل؛ ثم قم بالتحقيق والتحديث وإعادة الاختبار قبل إعادته إلى وضع الإنفاذ aa-enforce. أعد تحميله وأعد تشغيله حسب الحاجة. تجنب تعطيل AppArmor بشكل عام أو منح صلاحيات واسعة كحل سريع.

ما هي الأخطاء الشائعة التي يجب تجنبها؟

• استخدام تعليمات الإصدار الخاطئة: سير العمل هنا مخصص لـ SLES 15 AppArmor. يستخدم SUSE Linux 16.0 نظام SELinux بدلاً من ذلك، وفقًا لدليل المقارنة الخاص بـ SUSE.
• تحليل أداء برنامج وسيط بدلاً من البرنامج الحقيقي: التحقق من الملف التنفيذي الذي يتم تشغيله فعلياً، وخاصة بالنسبة للخدمات والبرامج النصية.
• التعلم القليل جدًا: الميزات غير المختبرة لا تولد عمليات وصول ملحوظة، لذلك قد يفشل الملف التعريفي غير المكتمل لاحقًا.
• الموافقة على المطالبات بدون سياق: يجب أن يخدم كل إذن مضاف مهمة تطبيق مطلوبة.
• نسيان إعادة التشغيل: أعد تحميل الملفات الشخصية، ثم أعد تشغيل التطبيق قيد التشغيل عند الحاجة حتى تتبنى العملية السياسة.
• التحرير بدون مسار للتراجع: قم بعمل نسخة احتياطية من الملفات الشخصية التي يتم الاحتفاظ بها محليًا وتتبع التغييرات في التحكم في الإصدار أو عملية إدارة تكوين النظام الخاص بك.

المراجع الرسمية لشركة SUSE

• دليل بدء استخدام AppArmor لنظام SLES 15 SP7
• دليل أدوات سطر الأوامر AppArmor لنظام SLES 15 SP7
• وثائق مستودع ملفات تعريف SUSE
• مرجع دعم SUSE AppArmor
• دليل مقارنة SUSE Linux 16.0

تم التحقق من هذه المراجع في 6 أكتوبر 2026. قد تختلف الأوامر وتفاصيل الحزمة حسب إصدار المنتج؛ تأكد من وثائق حزمة خدمة SLES المثبتة قبل إجراء أي تغييرات.