Gestattet dem Programm Lesezugriff auf die Ressource. Lesezugriff ist erforderlich für Shell-Skripts und anderen interpretierten Inhalt und bestimmt, ob ein ausgeführter Prozess einen Speicherauszug erzeugen oder mit ptrace(2) untersucht werden kann. (ptrace(2) wird mit Dienstprogrammen wie strace(1), ltrace(1) und gdb(1) verwendet.)

Gestattet dem Programm Schreibzugriff auf die Ressource. Dateien müssen über diese Berechtigung verfügen, wenn sie ausgetragen (entfernt) werden sollen.

Dieser Modus verlangt, dass ein einzelnes Sicherheitsprofil für eine Ressource definiert wird, die bei einem Novell AppArmor-Domänenwechsel ausgeführt wird. Wenn kein Profil definiert ist, wird der Zugriff verweigert. Inkompatibel mit den Ausführungseinträgen inherit und unconstrained.

Gestattet dem Programm, die Ressource auszuführen, ohne dass ihr ein Novell AppArmor-Profil zugewiesen wird. Erfordert auch die Angabe des Ausführungsmodus. Inkompatibel mit den Ausführungseinträgen inherit und discrete profile.

Dieser Modus ist nützlich, wenn ein eingeschränktes Programm eine privilegierte Operation ausführen muss, z. B. einen Neustart des Rechners. Indem Sie den privilegierten Abschnitt in ein anderes ausführbares Programm setzen und uneingeschränkte Ausführungsberechtigung gewähren, können Sie die obligatorischen Einschränkungen umgehen, die für alle eingeschränkten Prozesse gelten. Weitere Informationen zu den Einschränkungen finden Sie auf der Manualpage apparmor(7).

Verhindert den normalen Novell AppArmor-Domänenwechsel beim execve(2)-Systemaufruf, wenn das Programm, für welches das Profil gilt, die Ressource ausführt. Stattdessen erbt die ausgeführte Ressource das aktuelle Profil. Inkompatibel mit den Ausführungseinträgen unconstrained und discrete profile. Dieser Modus ist nützlich, wenn ein eingeschränktes Programm ein anderes eingeschränktes Programm aufrufen muss, ohne die Berechtigungen des Zielprofils zu erhalten oder die Berechtigungen des aktuellen Profils zu verlieren. Dieser Modus wird selten verwendet.

Der Link-Modus vermittelt Zugriff auf symbolische Links und Hardlinks und die Berechtigung, Dateien auszutragen (oder zu löschen). Beim Anlegen eines Links muss die betroffene Datei über dieselben Zugriffsberechtigungen verfügen wie der erstellte Link (mit der Ausnahme, dass das Ziel keinen Link-Zugriff besitzt).