C’est presque ce que j’ai fait dans un fichier /etc/apt/apt.conf.d/00apt :
DPkg::Pre-Invoke {
"/xxx/dir_tools/chattr_sys false";
"mount -o remount,rw /boot";
"mount -o remount,exec /tmp";
"mount -o remount,rw /usr";
};
DPkg::Post-Invoke {
"mount -o remount,ro /boot";
"mount -o remount,noexec /tmp";
"mount -f -o remount,ro /usr";
"/xxx/dir_tools/chattr_sys true";
};
Tu remarqueras avec tes yeux de lynx auxquels tu nous as habitué l’usage de l’option ‘-f’ dans le ‘Post-Invoke’ pour la partition ‘/usr’. L’expérience t’apprend rapidement que, sans cette option, le système se plaint et n’accepte pas le remontage en lecture seule. D’où l’intérêt de l’obliger 
Bien -sûr, cela tient compte du fait que j’ai réécrit en partie mon fichier ‘/etc/fstab’, en rapport avec ces partitions en questions, de telle manière :
(...)
UUID=0913b4e8-1dc3-4c3d-80e0-cfdb90d4d5b3 /boot ext4 async,auto,exec,nodev,nouser,rw,suid 0 2
/dev/mapper/grp--siou-vol_tmp /tmp ext4 loop,nodev,noexec,nosuid,rw 0 2
/dev/mapper/grp--siou-vol_usr /usr ext4 async,auto,exec,nodev,nouser,ro,suid 0 2
(...)
Cela tient aussi compte du fait que, dans le cas très particulier de ‘/boot’ qui a besoin d’être en écriture au démarrage, j’ai modifié le fichier ‘/etc/rc.local’ de telle manière, ainsi pendant le démarrage la partition ‘/boot’ est en écriture, et une fois démarrée, en attente de session, je l’oblige à être en lecture seule - d’où les modifications dans le fichier ‘00apt’ ci-dessus.
Fichier ‘/etc/rc.local’ :
mount -f -o remount,ro /boot
Mon script chattr est disponible sur mon git ou celui de .xyz
il y a certainement quelques modifs toutes petites dessus, mais l’esprit est là ! 
