Le contrôle d’accès obligatoire décide de ce qu’un programme a le droit de faire, indépendamment des permissions de l’utilisateur qui l’exécute. Sous Ubuntu et Debian, cela s’appelle AppArmor : il est installé et actif sur la plupart des serveurs, et sur beaucoup d’entre eux il ne confine pratiquement rien.
Cette page montre chaque profil chargé avec son mode, les processus confinés et ceux qui tournent sans aucun profil. Le mode est ce qu’il faut vérifier en premier. Un profil en mode complain journalise ce qu’il aurait bloqué et ne bloque rien : utile pendant le réglage d’un nouveau profil, sans valeur comme protection s’il a été laissé ainsi puis oublié. Seul enforce contraint réellement un processus.
La liste des processus non confinés est la moitié la plus intéressante. Tout ce qui est joignable depuis le réseau devrait relever d’un profil : le serveur web, la base de données, le démon de messagerie et tout serveur applicatif que vous avez écrit vous-même. Les refus récents figurent aussi : un service qui se met soudain à mal fonctionner après un changement de profil s’y explique généralement tout seul.