今日の修正

開発日誌 Personal Memo

{
domain foo_t;
...
allow /foo/bar dx;
}
とすると、/foo/barにドメインが定義されているときは、ドメイン遷移する。
allow /foo/** dxというワイルドカード指定も可能。/foo以下のプログラムにドメインが定義されていれば、ドメイン遷移する。なお、一つのプログラムに複数ドメインが定義されているときは、domain_auto_transではなく、domain_transになる。

http://d.hatena.ne.jp/himainu/20060413
　にて、ドメイン名廃止を考えたが、廃止するとかえってわかりづらくなる気がした。
　権限を表してるのはあくまでドメインであり、プログラム名ではないので。
結局、domain文は残した。

なお，AppArmorは、ドメインが表向きないが、実際は、ドメインの考え方を使っている。
　ドメインの変わりに「/usr/sbin/httpdのプロファイル」といういい方をする。
　AppArmorの紛らわしいのは、/usr/sbin/httpdから、他のプログラム(例えば/bin/perl)を(ixパーミッションで）起動した場合、「/bin/perlは/usr/sbin/httpdのプロファイルで動作する」ことになる。
　これはわかりやすいとは言えない気がした。