AppArmor negando uma operação de montagem

Question

Como convencer o apparmor a permitir essa operação?

[28763.284171] type=1400 audit(1344273461.387:192): apparmor="DENIED"
operation="mount" info="failed type match" error=-13 parent=7101
profile="lxc-container-with-nesting" name="/" pid=7112 comm="su"
flags="ro, remount, bind"

Basicamente, estou tentando remontar o sistema de arquivos raiz somente leitura (em um namespace de montagem aninhado em um contêiner LXC). A configuração é algumas montagens de bind em torno do local que terminam com:

mount --rbind / /
mount -o remount,ro /

Eu tentei todas as combinações de:

mount options=(ro, remount, bind) / -> /,

Eu poderia pensar. Adicionar a regra audit mount, mostra todas as outras montagens que eu faço, mas não aquelas que operam em /. O mais próximo que eu posso chegar é mount -> /, que IMHO é muito solto. Mesmo mount / -> /, nega a remontagem (enquanto a primeira ligação é permitida).

    

Answer 1

De acordo com o link

O Bind tem as mesmas opções que o original, então você só pode ligar uma cópia rw do / .. a menos que você remonte todo o seu / to ro .. o que eu estou supondo que você não quer fazer.

Precisa estar em duas etapas.

mount --bind /vital_data /untrusted_container/vital_data

mount -o remount,ro /untrusted_container/vital_data