关于AppArmor能否实现容器间安全隔离及RedHat旧文观点时效性的技术问询

嘿，这个问题提得特别到位——那篇RedHat的文章确实是几年前的内容，放到现在来看，它的结论已经完全过时了。

先给你明确结论：如今的AppArmor完全有能力在容器之间强制执行安全边界，所谓“AppArmor无法实现容器间隔离”的说法早就站不住脚了。

具体来说，这些年AppArmor在容器场景的支持上有了质的提升：

• 容器专属的Profile机制：现在Docker、containerd这类主流容器运行时，要么能为每个容器自动生成独立的AppArmor Profile，要么支持加载定制化的Profile。每个容器的权限被牢牢锁在自己的Profile规则里，从根源上阻止了容器之间的越权访问。
• 细粒度的权限管控：AppArmor可以针对文件访问、进程执行、网络操作等行为设置极其精细的规则。比如你可以限制容器只能读写自身挂载的文件目录，完全禁止它访问其他容器的存储路径，甚至能阻止它执行未被授权的二进制程序。
• 与容器生态的深度集成：现在主流容器工具默认就会启用AppArmor的防护。比如Docker默认会给每个容器应用docker-default这个Profile，里面已经内置了一系列隔离规则，能有效阻止容器触碰主机或其他容器的敏感资源。

至于和SELinux的对比，两者只是实现强制访问控制的思路不同：SELinux靠MLS/MCS的标签模型，AppArmor靠路径和能力的规则定义，但最终都能达到容器间安全隔离的效果。没必要非说谁能谁不能，只是技术路线的差异而已。

总的来说，那篇旧文章的观点已经跟不上现在的技术发展了，现在用AppArmor来做容器间的安全边界 enforcement完全没问题。

备注：内容来源于stack exchange，提问作者Chris Sears