AppArmorプロファイルで、`deny` ルールと `allow` ルールが競合した場合、どちらが優先されるか。

`kube-controller-manager` の `–profiling` を `false` に設定すべき理由は、`kube-apiserver` や `kube-scheduler` の場合と同様に何か。