AOISAKURA 日記

_ WSL2 で AppArmor を使う

確認バージョン

WSL バージョン: 2.5.10.0
カーネル バージョン: 6.6.87.2-1

確認済みゲスト

Gentoo Linux
Ubuntu 24.04.3

まず、 %UserProfile%\.wslconfig の kernelCommandLine に下記の通り、"apparmor" を最優先 (左側) にして lsm= を追加

[wsl2]
kernelCommandLine = lsm=apparmor,landlock,lockdown,yama,loadpin,safesetid,integrity,selinux,tomoyo

.wslconfig を修正したら、wsl --shutdown なりで WSL を再起動する。再起動後、dmesg で「AppArmor: AppArmor initialized」の出力があることを確認する。 次に Linux 側で /etc/fstab に /sys/kernel/security のエントリを追加する

none     /sys/kernel/security securityfs defaults            0      0

/etc/fstab を更新したら、反映と mount

% sudo systemctl daemon-reload
% sudo mount /sys/kernel/security

この状態で apparmor の service を start するとエラーが起きない

% sudo systemctl start apparmor
% sudo systemctl enable apparmor

あとはちゃんと制限してくるかを確認する。 当然だけど、LSM で現在指定できるのは一つだけなので、SELinux は使えないし、Docker などコンテナ内で別の LSM を使うことはできない

_ lsm= の記述について

kernel parameter の lsm= 行については、WSL2 用 kernel の config に下記の通り記載があり、AppArmor が有効になっていること

CONFIG_SECURITY_APPARMOR=y

lsm の order が下記の通りになっていることからこの記載を採用

CONFIG_LSM="landlock,lockdown,yama,loadpin,safesetid,integrity,selinux,apparmor,tomoyo"