Задача для AppArmor SE Linux ?

AppArmor SELinux ?

Вообще это для ограничения программ.

разрешить ему доступ в все подкаталоги текущего каталога, кроме одного

При чём тут текущий каталог? Т.е. разрешение/запрет должны работать в зависимости от того, куда указывает /proc/self/cwd/?

Т.е. разрешение/запрет должны работать в зависимости от того, куда указывает /proc/self/cwd/

Ну это крайний случай, но его можно рассмотреть)

Кстати, где-то нагуглил просто предложение отключить юзеру stat через selinux, но... не знаю бредовенько все это.

Ну это крайний случай, но его можно рассмотреть)

Пример бы какой-то... Я правильно понимаю, что пользователь не должен иметь возможность зайти в директорию secret, вне зависимости от того, где она находится? В этом был смыл упоминания текущего каталога? Получается ограничение доступа просто по имени. И надо избежать выставления прав на все директории secret? Или всё же можно поставить права на сами директории?

Получается ограничение доступа просто по имени

Да, таким образом.

Пускай будет, если имя secret, пользователю foo она недоступна.

Да

И я так понимаю, что такие директории могут быть созданы, так сказать, внезапно? В этом и есть смысл запрета именно по имени?
Я думаю, тут простое решение это bash скрипт с «while-true» и inotifywait. Вряд ли пользователь успеет «прошмыгнуть». :-)

Нет пока каталог secret только один.

Ключевое слово «один» :-)

Нет пока каталог secret только один.

Т.е. прямо вообще один на всей файловой системе? В чём тогда смысл всех сложностей? Почему нельзя просто пользователя исключить из некоторой группы, а доступ к каталогу разрешить только её членам? Я то думал, что задача вроде такой, что могут быть: /a/b/c/secret, /d/e/secret, /1/secret и т.п., которые ещё могут и добавляться. Иначе к чему тогда про текущий каталог было написано?

В целом да, так хотелось поизвращаться, но хватит и такого)

Интересно, а что бы сказал на это Владимир?

А как смотрите на то, чтобы через setfacl отобрать права?

Какие недостатки у этого подхода?

А как смотрите на то, чтобы через setfacl отобрать права?

Можно и так. Не думаю, что тут есть недостатки. А вот SELinux/AppArmor тут точно не надо, тем более, если директория только одна.