AppArmor từ chối một hoạt động gắn kết

Làm thế nào để tôi thuyết phục apparmor cho phép hoạt động này?

[28763.284171] type=1400 audit(1344273461.387:192): apparmor="DENIED"
operation="mount" info="failed type match" error=-13 parent=7101
profile="lxc-container-with-nesting" name="/" pid=7112 comm="su"
flags="ro, remount, bind"

Về cơ bản, tôi đang cố gắng kết nối lại hệ thống tập tin gốc chỉ đọc (trong một không gian tên mount được lồng trong một thùng chứa LXC). Thiết lập là một vài liên kết gắn kết xung quanh địa điểm kết thúc bằng:

mount --rbind / /
mount -o remount,ro /

Tôi đã thử mọi sự kết hợp của:

mount options=(ro, remount, bind) / -> /,

Tôi có thể nghĩ về. Thêm quy tắc audit mount,cho thấy tất cả các gắn kết khác tôi làm, nhưng không phải là các hoạt động trên /. Gần nhất tôi có thể nhận được là mount -> /,IMHO quá lỏng lẻo. Thậm chí mount / -> /,từ chối kết thúc (trong khi gắn kết đầu tiên được cho phép).

Theo: http://lwn.net/Articles/281157/

Bind có các tùy chọn giống như bản gốc, vì vậy bạn chỉ có thể liên kết gắn một bản sao rw của / .. trừ khi bạn kể lại toàn bộ / để ro .. mà tôi đoán bạn không muốn làm.

Cần phải có hai bước.

mount --bind /vital_data /untrusted_container/vital_data

mount -o remount,ro /untrusted_container/vital_data