まずは Apache 向けの apparmor と php5 のモジュールを有効化します。有効化を行うには、下記のように実行します:

> a2enmod apparmor php5

あとは Apache を再起動します:

> sudo systemctl restart apache2

MariaDB が動作していることを確認します。動作しているかどうかが分からない場合は、下記を実行して再起動します:

> sudo systemctl restart mariadb

https://www.adminer.org から Adminer をダウンロードして、 /srv/www/htdocs/adminer/ にコピーしたあと、ファイル名を adminer.php に変更します。スクリプトのフルパスは /srv/www/htdocs/adminer/adminer.php であることになります。

Web ブラウザを起動して URI 欄に http://localhost/adminer/adminer.php と入力し、 Adminer の動作確認を行います。 Adminer をリモートのサーバにインストールしている場合は、 localhost の部分をサーバのホスト名に置き換えてください。

図 34.1: Adminer のログインページ #

ヒント

Adminer のログインページの表示時に何らかの問題が発生した場合は、まず /var/log/apache2/error.log にある Apache のエラーログファイルをご覧になることをお勧めします。 Web ページにアクセスできない理由として考えられる理由としては、既に Apache が AppArmor の制御下にあり、適用されているプロファイルが Adminer を動作させるには厳しすぎることも考えられます。この場合は、 aa-status を実行して確認を行い、必要であれば下記を実行し、 Apache を一時的に不平モードに設定してください:

# sudo aa-complain usr.sbin.httpd2-prefork

Apache には、 /etc/apache2/ と /etc/apache2/conf.d/ という設定ファイルのディレクトリが存在しています。どちらのディレクトリ内でもかまいませんので、テキストエディタを利用してファイルを作成してください。この例では、 vim エディタを利用して設定ファイル /etc/apache2/conf.d/apparmor.conf を作成することにします。

> sudo vim /etc/apache2/conf.d/apparmor.conf

テキストエディタ内で、下記のとおり入力します。

<Directory /srv/www/htdocs/adminer>
  AAHatName adminer
</Directory>

上記の設定を追加することで、 Apache に対して /adminer のディレクトリ (およびそれ以下のサブディレクトリやファイル) 宛のアクセスがあった際、 AppArmor 側でチェンジハットを行うことを指示します。このディレクトリ内には、既に adminer.php があるはずです。

ファイルを保存して、テキストエディタを終了します。あとは下記のように実行して Apache を再起動します:

> sudo systemctl restart apache2

テキストエディタを利用して、 /etc/apparmor.d/usr.sbin.httpd2-prefork というファイル名のファイルを開いて (存在していない場合は作成して) ください。ファイルの内容は下記のようになっているはずです:

#include <tunables/global>

/usr/sbin/httpd2-prefork {
  #include <abstractions/apache2-common>
  #include <abstractions/base>
  #include <abstractions/php5>

  capability kill,
  capability setgid,
  capability setuid,

  /etc/apache2/** r,
  /run/httpd.pid rw,
  /usr/lib{,32,64}/apache2*/** mr,
  /var/log/apache2/** rw,

  ^DEFAULT_URI {
    #include <abstractions/apache2-common>
    /var/log/apache2/** rw,
  }

  ^HANDLING_UNTRUSTED_INPUT {
    #include <abstractions/apache2-common>
    /var/log/apache2/** w,
  }
}

末尾の閉じ中括弧 ( } ) の前に、下記のような行を挿入します:

^adminer flags=(complain) {
}

ここでは、ハット名の後ろに (complain) を指定していることに注意してください。これにより、 AppArmor での adminer ハットを不平モードに設定することになります。これは、この時点では Adminer のアクセス要件がわかっていないため、それを調べるための設定です。

ファイルを保存して AppArmor を再起動し、 Apache を再起動します。

> sudo systemctl reload apparmor apache2

続いて adminer ハットが正しく不平モードになっていることを確認します。

> sudo aa-status
apparmor module is loaded.
39 profiles are loaded.
37 profiles are in enforce mode.
[...]
   /usr/sbin/httpd2-prefork
   /usr/sbin/httpd2-prefork//DEFAULT_URI
   /usr/sbin/httpd2-prefork//HANDLING_UNTRUSTED_INPUT
[...]
2 profiles are in complain mode.
   /usr/bin/getopt
   /usr/sbin/httpd2-prefork//adminer
[...]

上記のとおり、 httpd2-prefork//adminer が不平モードになっていることがわかります。

Adminer を Web ブラウザで開きます。ローカルにインストールした場合は、 URI は http://localhost/adminer/adminer.php になるはずです。

まずは使用するデータベースエンジン (ここでは MariaDB) を選択し、既存のデータベースにユーザ名とパスワードを入力してログインします。なお、データベース名については、ログイン後に指定することもできますので、指定する必要はありません。あとは Adminer の機能を一通り試してください。新しいデータベースを作成したり、新しいテーブルを作成したり、ユーザ権限を設定したりなどです。

ひととおり Adminer のユーザインターフェイスをテストしたら、コンソールに戻って収集したログの調査を行います。

> sudo aa-logprof
Reading log entries from /var/log/audit/audit.log.
Updating AppArmor profiles in /etc/apparmor.d.
Complain-mode changes:

Profile:  /usr/sbin/httpd2-prefork^adminer
Path:     /dev/urandom
Mode:     r
Severity: 3

  1 - #include <abstractions/apache2-common>
[...]
 [8 - /dev/urandom]

[(A)llow] / (D)eny / (G)lob / Glob w/(E)xt / (N)ew / Abo(r)t / (F)inish / (O)pts

aa-logprof のメッセージによると、下記のとおり adminer のハットが正しく認識されていることが分かります:

Profile:  /usr/sbin/httpd2-prefork^adminer

aa-logprof は、検出されたそれぞれの AppArmor イベントから、適切なルールを選択するよう依頼します。使用したいルールを指定したあと Allow を選択します。 aa-genprof と aa-logprof の使用方法について、詳しくは 33.7.3.8項 「aa-genprof: プロファイルの生成」 をお読みください。

ヒント

aa-logprof では、特定のイベントに対して複数のルール候補を提示して選択を求めます。場合によっては 抽象 と呼ばれる、特定の目的向けのルールセットをまとめた仕組みを提案することもあります。このような場合は、直接のルールではなく抽象を選択したほうが便利な場合があります:

 1 - #include <abstractions/php5>
 [2 - /var/lib/php5/sess_3jdmii9cacj1e3jnahbtopajl7p064ai242]

上記の例では、 1 を押して A を押すことで、抽象の取り込みを設定することができます。

最後に、下記のとおり保存を行うかどうかを尋ねられます。

The following local profiles were changed. Would you like to save them?
 [1 - /usr/sbin/httpd2-prefork]

 (S)ave Changes / [(V)iew Changes] / Abo(r)t

S を押して変更を保存してください。

変更が終わったら、 aa-enforce を実行してプロファイルを強制モードに設定します:

> sudo aa-enforce usr.sbin.httpd2-prefork

aa-status で状態を確認します:

> sudo aa-status
apparmor module is loaded.
39 profiles are loaded.
38 profiles are in enforce mode.
[...]
   /usr/sbin/httpd2-prefork
   /usr/sbin/httpd2-prefork//DEFAULT_URI
   /usr/sbin/httpd2-prefork//HANDLING_UNTRUSTED_INPUT
   /usr/sbin/httpd2-prefork//adminer
[...]

上記のとおり、 //adminer のハットが complain (不平) から enforce (強制) モードに切り替えられています。

あとは再度 Adminer を Web ブラウザで開いて動作を確認してください。何らかの問題を見つけた場合は、不平モードに戻して手順を繰り返し、 aa-logprof でプロファイルを更新してください。

AppArmor プロファイルダイアログ のウインドウ内で、 項目の追加 を押し、 ハット を選択します。 追加するハット名 のダイアログが表示されます:

AppArmor プロファイルに追加したいハットの名前を入力します。名前はアクセス時の URI を指定します。

ハットの作成 を押します。すると AppArmor プロファイルダイアログ 画面に戻ります。

新しいハットを追加したら、 完了 を押して閉じます。