Novell AppArmor-Profilkomponenten werden Novell AppArmor-Regeln genannt. Derzeit gibt es zwei Haupttypen von Novell AppArmor-Regeln: Pfadeinträge und Funktionseinträge. Pfadeinträge geben an, worauf der Prozess im Dateisystem zugreifen kann. Funktionseinträge bieten eine präzisere Kontrolle darüber, welche Aktionen ein eingeschränkter Prozess durch andere Systemaufrufe, die Berechtigungen erfordern, ausführen darf. Inbegriffen sind eine Art Metaregel oder Direktiven, die Pfad- und Funktionseinträge von anderen Dateien abrufen.

Am einfachsten lässt sich anhand eines Beispiels erklären, woraus ein Profil besteht und wie ein Profil erstellt wird. Betrachten Sie das folgende Profil für das Programm /sbin/klogd:

# profile to confine klogd
/sbin/klogd 
{
#include <abstractions/base>
  capability sys_admin,
  /boot/* r,
  /proc/kmsg r,
  /sbin/klogd r,
  /var/run/klogd.pid lw,
}

	Ein Kommentar, der das Programm angibt, das durch dieses Profil eingeschränkt wird. Kommentaren wird immer das #-Zeichen vorangestellt.
	Der absolute Pfad zu dem Programm, das eingeschränkt ist.
	Die geschweiften Klammern {} dienen als Behälter für Include-Anweisungen von anderen Profilen sowie für Pfad- und Funktionseinträge.
	Diese Direktive ruft Komponenten von Novell AppArmor-Profilen ab, um Profile zu vereinfachen.
	Funktionseintragsanweisungen aktivieren jede der 29 Funktionen im POSIX.1e-Entwurf.
	Ein Pfadeintrag, der angibt, auf welche Bereiche des Dateisystems das Programm zugreifen kann. Der erste Pfad eines Pfadeintrags gibt den absoluten Pfad einer Datei an (einschließlich der Verwendung von Platzhaltern in regulären Ausdrücken) und der zweite Teil die zulässigen Zugriffsmodi (r für Lesen, w für Schreiben und x für Ausführen). Ein beliebiger Abstand (Leerzeichen oder Tabulatoren) kann Pfadnamen vorangehen oder den Pfadnamen von den Zu­griffsmodi trennen. Ein Abstand zwischen dem Zugriffsmodus und dem nachgestellten Komma ist optional.

Wenn ein Profil für ein Programm erstellt wird, kann das Programm nur auf die Dateien, Modi und POSIX-Funktionen zugreifen, die im Profil festgelegt sind. Diese Beschränkungen gelten zusätzlich zu den nativen Linux-Zugriffskontrollen.

Beispiel: .  Um die Funktion CAP_CHOWN zu erhalten, muss das Programm auf CAP_CHOWN unter konventionellen Linux-Zugriffskontrollen zugreifen können (typischerweise ein root-eigener Prozess sein) und gleichzeitig die Funktion chown in seinem Profil haben. Ebenso muss das Programm für das Schreiben in die Datei /foo/bar die korrekte Benutzer-ID und Modusbits in den Datei-Attributen eingestellt haben (siehe die Manualpages chmod und chown) sowie /foo/bar w in seinem Profil haben.

Versuche, die Novell AppArmor-Regeln zu verletzen, werden im Syslog aufgezeichnet. In vielen Fällen verhindern Novell AppArmor-Regeln einen erfolgreichen Angriff, da erforderliche Dateien nicht verfügbar sind und Novell AppArmor-Ein­schränkungen in allen Fällen den Schaden begrenzen, den der Angreifer an dem von Novell AppArmor zugelassenen Satz an Dateien anrichten kann.

#include-Anweisungen sind Direktiven, die Komponenten von anderen Novell AppArmor-Profilen abrufen, um Profile zu vereinfachen. Include-Dateien rufen Zu­griffsberechtigungen für Programme ab. Durch Verwenden einer include-Anweisung können Sie dem Programm Zugriff auf Verzeichnispfade oder Dateien geben, die auch von anderen Programmen benötigt werden. Mithilfe von include-Anweisungen lässt sich die Größe eines Profils verringern.

Standardmäßig wird die /etc/apparmor.d/ von der #include-Anweisung am Anfang des Pfadnamens hinzugefügt, da davon ausgegangen wird, dass sich die include-Datei an dieser Stelle befindet. Im Unterschied zu anderen Profilanweisungen (aber ähnlich wie C-Programme) enden #include-Zeilen nicht auf ein Komma.

Zur Unterstützung bei der Profilerstellung für Ihre Anwendung bietet Novell AppArmor zwei #include-Klassen: Abstraktionen und Programmfragmente.

Funktionsanweisungen bestehen einfach aus dem Wort „capability“, gefolgt vom Namen der POSIX.1e-Funktion, wie auf der Manualpage capabilities(7) definiert.