AppArmor Container

Définition

AppArmor (Application Armor) est un module de sécurité du noyau Linux (LSM - Linux Security Module) qui implémente un contrôle d'accès obligatoire (MAC - Mandatory Access Control) basé sur des profils. Dans le contexte des conteneurs Docker et Kubernetes, AppArmor restreint les opérations qu'un processus conteneurisé peut effectuer : accès aux fichiers du système hôte, opérations réseau, capabilities Linux utilisables, et types de signaux envoyables. Docker intègre nativement AppArmor : le profil docker-default est automatiquement appliqué aux conteneurs sur les systèmes avec AppArmor activé (Ubuntu, Debian), sauf si le conteneur est démarré avec --security-opt apparmor=unconfined. Ce profil par défaut bloque les opérations dangereuses comme monter des filesystems, accéder aux raw sockets, et modifier certains fichiers kernel, tout en permettant les opérations nécessaires aux applications web standard. Les profils AppArmor se définissent en deux modes. Le mode enforce bloque les opérations interdites et les journalise. Le mode complain permet toutes les opérations mais journalise les violations, permettant d'identifier les permissions nécessaires avant de passer en mode enforce. L'outil aa-genprof génère automatiquement un profil à partir d'une session d'utilisation enregistrée de l'application. Dans Kubernetes, AppArmor se configure via des annotations sur les pods : container.apparmor.security.beta.kubernetes.io/<container_name>: localhost/<profile_name>. Le profil doit être préchargé sur tous les nœuds Kubernetes où le pod peut être schedulé, via un DaemonSet ou une configuration d'image nœud (node image). Kubernetes 1.30+ supporte la configuration AppArmor dans le securityContext de manière native (sans annotations). AppArmor est complémentaire à seccomp : seccomp filtre les syscalls autorisés (quelles opérations le processus peut demander au kernel), tandis qu'AppArmor filtre les accès aux ressources (quels fichiers, sockets, capabilities le processus peut utiliser). Utilisés conjointement avec la gestion des capabilities Linux, ils constituent une défense en profondeur complète pour les conteneurs.