Como convencer o apparmor a permitir esta operação?
[28763.284171] type=1400 audit(1344273461.387:192): apparmor="DENIED"
operation="mount" info="failed type match" error=-13 parent=7101
profile="lxc-container-with-nesting" name="/" pid=7112 comm="su"
flags="ro, remount, bind"
Basicamente, estou tentando remontar o sistema de arquivos raiz somente leitura (em um espaço para nome de montagem aninhado em um contêiner LXC). A configuração é algumas montagens de ligação ao redor do local, terminando com:
mount --rbind / /
mount -o remount,ro /
Eu tentei todas as combinações de:
mount options=(ro, remount, bind) / -> /,
Eu poderia pensar. A adição da regra audit mount,mostra todas as outras montagens que eu faço, mas não as que operam em /. O mais próximo que posso chegar é mount -> /,qual IMHO está muito solto. Até mount / -> /,nega a remontagem (enquanto a primeira montagem de ligação é permitida).
Respostas:
Conforme: http://lwn.net/Articles/281157/
Os Binds têm as mesmas opções do original, portanto, você só pode montar uma cópia rw de / .. a menos que remonte todo o seu / para ro .. o que eu acho que você não quer fazer.
Precisa estar em duas etapas.
mount --bind /vital_data /untrusted_container/vital_datamount -o remount,ro /untrusted_container/vital_datafonte