รายละเอียดเครื่องแต่งกายสำหรับไวน์

ฉันกำลังพยายามตั้งค่าโปรไฟล์ apparmor สำหรับไวน์ เพื่อให้ไวน์สามารถอ่านและเขียนภายในไดเร็กทอรี .wine เท่านั้น ฉันเคยเห็นบางกระทู้ถามเกี่ยวกับเรื่องนี้ แต่ไม่มีรายละเอียดคำถามเหล่านั้น

ในเธรดเหล่านั้น นี้ repo github ถูกกล่าวถึงเช่นโปรไฟล์อุปกรณ์ไวน์ที่ฉันลอง

ฉันไม่แน่ใจเกี่ยวกับการแก้ไขของฉัน /etc/apparmor.d/tunables และ /etc/apparmor.d/abstractions

แต่ฉันเพิ่ม งาน โฟลเดอร์และไฟล์ เว็บไซต์/ทั่วโลก และ เว็บไซต์/เด เนื่องจากไม่ได้อยู่ที่นั่นแล้ว

และเพิ่ม ชีพจร ไฟล์ใน /etc/apparmor.d/ เพราะมันไม่มีอยู่ด้วย

สร้างโปรไฟล์เปล่าสำหรับไวน์ด้วย aa-genprof และใช้โปรไฟล์สำหรับไวน์ที่กล่าวถึงใน Github repo

แต่มันก็มี SYS_GIT และ HOME_GIT ตัวแปรใน /etc/apparmor.d/site ไฟล์ที่ฉันไม่มี ไม่รู้ว่าต้องทำอย่างไร ฉันเพิ่งแสดงความคิดเห็นเหล่านั้น รวมถึง จากแฟ้มประวัติไวน์

โปรไฟล์ปัจจุบันของฉันจึงเป็นแบบนี้

#รวม <tunables/global>

โปรไฟล์ตัวโหลดล่วงหน้าไวน์ /usr/bin/ตัวโหลดไวน์ล่วงหน้า {

    #รวม <บทคัดย่อ/ฐาน>
    #รวม <บทคัดย่อ/แบบอักษร>
    #รวม <บทคัดย่อ/ชื่อบริการ>
    ##รวม <บทคัดย่อ/ไซต์/de>
    ##รวม <บทคัดย่อ/ไซต์/ฐาน>
    #รวม <บทคัดย่อ/X>
    #รวม <abstractions/freedesktop.org>
    ##รวม <สิ่งที่เป็นนามธรรม/ชีพจร>
    #รวม <บทคัดย่อ/p11-kit>

    /usr/bin/wine-preloader rix
    / usr / bin / เซิร์ฟเวอร์ไวน์ px,
    /usr/bin/ไวน์ นาย

    /usr/lib/wine/*.so นาย
    /usr/share/wine/fonts/ r,
    /usr/share/wine/fonts/* r,
    /usr/share/wine/wine.inf r

    /etc/fstab r,
    /usr/share/terminfo/** r

    /tmp/.wine-*/ rw,
    /tmp/.wine-*/server-*/ rw,
    /tmp/.wine-*/server-*/* rwmk

    เจ้าของ @{HOME}/ r
    เจ้าของ @{HOME}/.wine/ rw
    เจ้าของ @{HOME}/.wine/** rwmk
    เจ้าของ @{HOME}/.local/share/icons/hicolor/** rwk
    เจ้าของ @{HOME}/.local/share/applications/** rwk
    เจ้าของ @{HOME}/.config/menus/applications-merged/wine-* rwk
    เจ้าของ @{HOME}/.local/share/desktop-directories/wine-* rwk

    # สิ่งที่สร้างเมนูไวน์ส่วนใหญ่
    ปฏิเสธ /usr/bin/update-mime-database x,
    ปฏิเสธ /usr/bin/update-desktop-database x,
    ปฏิเสธ @{HOME}/.local/share/mime/** w

    #สำหรับwinedbg
    ปฏิเสธความสามารถ sys_ptrace
    # เจ้าของ /proc/@{pid}/mem rw

    #ห
    /etc/udev/udev.conf r
    /run/udev/data/* r,
    /run/udev/queue.bin r
    /sys/devices/pci** r
    /dev/video0 rw, # dri?

    # สำหรับการเริ่มต้น ~/.wine การสร้าง/อัปเดตเท่านั้น
    / r,
    /usr/share/ไวน์/** r
    เจ้าของ @{HOME}/.cache/ r
    เจ้าของ @{HOME}/.cache/wine/ rwk
    เจ้าของ @{HOME}/.cache/wine/** rwk

    # แอพ / เกมจริง
    เจ้าของ /proc/@{pid}/mounts r
    /etc/รหัสเครื่อง r
    /mnt/iso/ r,
    /mnt/iso/** r
    ปฏิเสธ @{HOME}/ดาวน์โหลด/ rw
    ปฏิเสธ @{HOME}/ดาวน์โหลด/** rw
    ปฏิเสธ @{HOME}/.local/share/Trash/ rw

    /usr/bin/dosbox cx -> โดสบอกซ์

    dosbox โปรไฟล์ {
        #รวม <บทคัดย่อ/ฐาน>
        #รวม <บทคัดย่อ/X>
        ##รวม <สิ่งที่เป็นนามธรรม/ชีพจร>
        ##รวม <บทคัดย่อ/ไซต์/ฐาน>

        /etc/fstab r,
        เจ้าของ /proc/@{pid}/mounts r

        # DosBox ดูเหมือนจะใช้สิ่งเหล่านี้โดยตรง
        /dev/input/event[0-9]* r,
        /dev/input/js[0-9]* r,

        เจ้าของ @{HOME}/ r
        เจ้าของ @{HOME}/.wine/ rw
        เจ้าของ @{HOME}/.wine/** rwmk

        # แอพ / เกมจริง
        /mnt/iso/ r,
        /mnt/iso/** r
    }

}

โปรไฟล์เซิร์ฟเวอร์ไวน์ /usr/bin/wineserver {

    #รวม <บทคัดย่อ/ฐาน>
    #รวม <บทคัดย่อ/ชื่อบริการ>
    #รวม <abstractions/freedesktop.org>

    /usr/bin/wineserver r

    /tmp/.wine-*/ rw,
    /tmp/.wine-*/server-*/ rw,
    /tmp/.wine-*/server-*/* rwmk

    เจ้าของ @{HOME}/ r
    เจ้าของ @{HOME}/.wine/ rw
    เจ้าของ @{HOME}/.wine/** rwmk
    เจ้าของ @{HOME}/.local/share/icons/hicolor/** rwk

    #สำหรับwinedbg
    ปฏิเสธความสามารถ sys_ptrace
    # เจ้าของ /proc/@{pid}/mem rw

    # สำหรับการสร้าง ~/.wine เริ่มต้นเท่านั้น
    / r,
    /usr/share/wine/** rk,
    เจ้าของ @{HOME}/.cache/ r
    เจ้าของ @{HOME}/.cache/wine/ rwk
    เจ้าของ @{HOME}/.cache/wine/** rwk

    # แอพ / เกมจริง
    เครือข่าย ipx dgram # IPX ว้าว ;)
    /etc/รหัสเครื่อง r
    /etc/ld.so.preload r,
    /mnt/iso/ r,
    /mnt/iso/** r
    ปฏิเสธ @{HOME}/ดาวน์โหลด/ rw
    ปฏิเสธ @{HOME}/.local/share/Trash/ rw

}

บริการ apparmor ทำงานได้ดี แต่เมื่อฉันพยายามเรียกใช้บางอย่างในไวน์ ตอนนี้มันแสดงให้ฉันเห็น ปฏิเสธการอนุญาต

ฉันทำอะไรผิดที่นี่ การเข้าชมไปในทิศทางที่ถูกต้องจะเป็นประโยชน์จริงๆ ขอบคุณ