O controlo de acesso obrigatório decide o que um programa pode fazer, independentemente das permissões do utilizador que o executa. No Ubuntu e no Debian isso significa AppArmor, que está instalado e a correr na maioria dos servidores e que, em muitíssimos deles, praticamente nada confina.
Esta página mostra cada perfil carregado com o seu modo, os processos que correm confinados e os que correm sem perfil algum. O modo é a primeira coisa a verificar. Um perfil em modo complain regista o que teria bloqueado e não bloqueia nada: útil enquanto se afina um perfil novo, sem valor como proteção se ficou assim e foi esquecido. Só o enforce restringe realmente um processo.
A lista de processos não confinados é a metade mais interessante. Tudo o que é alcançável a partir da rede deveria estar sob um perfil: o servidor web, a base de dados, o daemon de correio e qualquer servidor aplicacional que tenha escrito. As recusas recentes também aparecem, já que um serviço que começa subitamente a portar-se mal depois de uma alteração de perfil costuma explicar-se ali sozinho.