kern.log中AppArmor拒绝日志的含义解析及相关排查方法咨询

咱们先把这条日志完整贴出来，再一步步拆解分析：

audit: type=1400 audit(1618836727.727:855): apparmor="DENIED" operation="create" profile="/usr/sbin/ntpd" pid=1156 comm="ntpd" family="netlink" sock_type="raw" protocol=0 requested_mask="create" denied_mask="create"

日志各字段含义拆解 #

每个字段都藏着关键信息，咱们逐个看：

• audit: type=1400：这是Linux审计系统的事件类型标记，type=1400专门对应AppArmor的访问控制事件。
• audit(1618836727.727:855)：括号里的第一串数字是Unix时间戳，你可以用命令date -d @1618836727转成可读的本地时间；后面的855是这个审计事件的序列号，方便关联其他相关日志。
• apparmor="DENIED"：直白说就是AppArmor强制访问控制系统拒绝了这次操作。
• operation="create"：被拒绝的动作是“创建资源”。
• profile="/usr/sbin/ntpd"：触发规则的是AppArmor为ntpd进程预设的权限配置文件。
• pid=1156 comm="ntpd"：发起操作的进程ID是1156，进程名称是ntpd（网络时间协议守护进程，用来同步系统时间）。
• family="netlink" sock_type="raw" protocol=0：进程试图创建的是netlink家族的原始类型套接字，协议号0对应的是NETLINK_ROUTE（内核路由子系统），这种套接字一般用于用户空间进程和内核直接通信。
• requested_mask="create" denied_mask="create"：进程请求的权限是“创建”，而AppArmor拒绝的也正是这个权限。

如何排查进程、用户及目标资源 #

1. 确认进程所属用户及完整命令 #

直接用ps命令查询PID 1156的详情：

ps -p 1156 -o user,cmd

输出里的user列就是运行该进程的用户（ntpd通常默认以ntp用户或root运行，取决于系统配置），cmd列能看到进程的完整启动命令和参数。

2. 明确目标资源的用途 #

Netlink套接字是内核和用户空间的通信桥梁，raw类型的NETLINK_ROUTE套接字一般用于获取/修改路由表、网络接口信息等。你可以结合ntpd的配置文件（通常在/etc/ntp.conf或/etc/ntpd.conf）看看它是否有依赖网络路由相关的配置，或者是否在尝试做网络状态探测。

操作被拒绝的核心原因 #

AppArmor是强制访问控制（MAC）系统，它的核心逻辑是“默认拒绝所有未明确允许的操作”。这条日志的本质是：ntpd的AppArmor配置文件（路径一般是/etc/apparmor.d/usr.sbin.ntpd）里，没有添加允许创建netlink raw类型套接字的规则，所以当ntpd尝试做这个操作时，就被AppArmor拦下来了。

后续排查与修复建议 #

1. 查看当前AppArmor规则：
   打开ntpd的配置文件，看看是否有相关的网络权限规则：

   cat /etc/apparmor.d/usr.sbin.ntpd
   

   正常的网络规则可能类似network inet tcp，如果找不到network netlink raw这类条目，就说明确实缺少权限。

2. 临时测试（不影响业务）：
   如果你不确定这个权限是不是ntpd必需的，可以先把AppArmor设为“投诉模式”——只记录日志但不拒绝操作：

   sudo aa-complain /usr/sbin/ntpd
   

   观察一段时间，如果ntpd运行正常，说明这个操作可能是冗余的；如果出现功能异常，就说明确实需要添加权限。

3. 永久添加权限：
   确认需要权限后，编辑/etc/apparmor.d/usr.sbin.ntpd，添加一行规则：

   network netlink raw,
   

   保存后重新加载AppArmor配置：

   sudo systemctl reload apparmor
   

内容的提问来源于stack exchange，提问作者Noob99