わざわざありがとうございます。

C ですね。諒解しました。

別件なんですが、ポリシで 0 (監視しない) にして、子プロセス(ドメイン) を d したにも関わらず、再度プロセスを走らせると、 0 を継承したドメインが生成されるのは仕様なのでしょうか。

個人的には 0 指定したらその子プロセスに関しては学習すらして欲しくないのですが。

上記の説明だと、 プロファイル 0 に対して、 MAC_FOR_FILE=non-lerning 的な設定をしてあげれば現状の問題は解決しそうです。

プロファイルが 0 のドメインに対しては子ドメインを作らないという動作を期待しています。

GentooLinux を例に出すと、現状ではプロファイルを 0 にした emerge (パッケージビルドプログラム)を走らせると、その子プロセスすべてに対してプロファイル 0 のドメインが生成されているのですが、これをプロファイル 0 のプログラムが生成した子プロセスに関してはそもそもドメインを作らないという動作になって欲しいというのが要望です。

すでにある枠組みでフォローできそうな気がします。

  999:  0         /usr/lib64/portage/bin/emerge
 1000:  0             /usr/bin/python2.6
 1001:  0                 /bin/bash
 1002:  0                     /usr/lib64/portage/bin/ebuild.sh
 1003:  0                         /bin/basename
 1004:  0                         /bin/bzip2
 1005:  0                         /bin/chmod
 1006:  0                         /bin/chown
 1007:  0                         /bin/egrep
 1008:  0                         /bin/mv
 1009:  0                         /bin/rm
 1010:  0                         /bin/rmdir
 1011:  0                         /bin/sed
 1012:  0                         /bin/sort
 1013:  0                         /bin/stty
 1014:  0                         /bin/touch
 1015:  0                         /bin/tr
 1016:  0                         /bin/uname
 1017:  0                         /usr/bin/ccache
.
.
.

＞プロファイルが 0 のドメインに対しては子ドメインを作らないという動作を期待しています。
プロファイル番号とドメインの自動作成とは無関係にしています。
もし、プロファイル 0 だけを特別扱いしてしまうと、プロファイル 1 やプロファイル 2 も特別扱いしてほしいという要望が出てきた場合に対処できなくなるので、プロファイル 0 だけ子ドメインを作らないようにするという仕様にはできません。

その代わり、

# echo “keep_domain /usr/lib64/portage/bin/emerge” | tomoyo-loadpolicy -e

または

# echo “keep_domain /usr/lib64/portage/bin/emerge” >> /etc/tomoyo/exception_policy.conf
# tomoyo-loadpolicy e

を行うことにより、 /usr/lib64/portage/bin/emerge の子ドメインを作らせないようにすることは可能です。

# echo “keep_domain /usr/lib64/portage/bin/emerge” >> exception_policy.conf
# echo “keep_domain /usr/bin/genkernel” >> exception_policy.conf
# echo “keep_domain /usr/bin/make” >> exception_policy.conf
# echo “keep_domain /usr/bin/runscript.sh” >> exception_policy.conf
# tomoyo-loadpolicy e ./exception_policy.conf

こんな感じで、ドメインを生成するプロセスの刈り込みを行いました。