Запрет на каталог в AppArmor

["Артём Н."]

Как в AppArmor запретить все каталоги в подкаталоге, кроме указанного?

Например, я делаю так:
deny @{HOME}/[dD]oc{,s}/ mwkl,
deny @{HOME}/[dD]oc{,s}/** mwkl,

@{HOME}/[dD]ocument{,s}/books/ r,
@{HOME}/[dD]ocument{,s}/books/** r,

Но это не работает... Видимо, deny имеет высший приоритет?

Попробовал через шаблон:
deny @{HOME}/[dD]oc{,s}/**[^b][^o][^o][^k][^s]** mrwkl,

Но странно, что в скрытые каталоги и в каталог photo браузер может зайти.

Как сделать так, чтобы работало?


--
To UNSUBSCRIBE, email to debian-russ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listm...@lists.debian.org
Archive: http://lists.debian.org/513A502E...@yandex.ru

["Артём Н."]

> @{HOME}/[dD]ocument{,s}/books/ r,
> @{HOME}/[dD]ocument{,s}/books/** r,

Да, тут конечно же [dD]oc{,s}. Всё проверил, но не работает.

--
To UNSUBSCRIBE, email to debian-russ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listm...@lists.debian.org

Archive: http://lists.debian.org/513A50A4...@yandex.ru

["Артём Н."]

Нашёл репозиторий с профилями AppArmor от ubuntы.
Почти везде в новых версиях такая надпись:
"This profile is now included as part of the clamav source package."

Как-то так, например:
https://bazaar.launchpad.net/~apparmor-dev/apparmor-profiles/master/view/head:/ubuntu/12.10/usr.sbin.clamd

Похоже, AppArmor скоро будет весьма тесно интегрирован в систему...

Но хоть какие-то профили есть. Например, для unbound валяется (эх, надо было
искать, а не тратить время):
https://bazaar.launchpad.net/~apparmor-dev/apparmor-profiles/master/view/head:/ubuntu/12.10/usr.sbin.unbound

--
To UNSUBSCRIBE, email to debian-russ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listm...@lists.debian.org

Archive: http://lists.debian.org/513CBDBE...@yandex.ru