web-dev-qa-db-ja.com

pkexecの設定方法は？

これらの質問と回答を読む：

そのコマンドの新規ユーザーに問題を引き起こす別のものを私にもたらしました：

  • 簡単に使用できるようにpkexecを設定する方法は？

たとえば、次の場合：

（ターミナルでファイルを開く）

pkexec nano /etc/mysql/my.cnf

（GUIでファイルを開く）

pkexec gedit /etc/mysql/my.cnf

最後のものは次のエラーを受け取ります：

 pkexec must be setuid root

今、これは私に次の質問をもたらしました：

  1. これを回避するためにpkexecを構成する方法は？同じことを行うときのSudo/gksuの動作に似ています（パスワードのみを要求します）。

  2. 該当する場合、コマンドに初めてパスワードを適用した後（または構成可能な場合は最初のコマンドを含む）、パスワードを要求しないようにするにはどうすればよいですか？

  3. まだ存在しない場合、構成ファイルをどこに保存しますか？

  4. pkexecの使用を構成するGUIアプリはありますか（ポリシーキット）？

command-linesudopkexec
31
Luis Alvarado

GUIアプリケーションの実行時にエラーが発生しないようにpkexecを構成する方法は？

私は2つの可能な方法を見つけました：

  1. ご覧のとおり、以下を使用します。

    pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY gedit

    エラーは発生しません。そして、これはman pkexecがこの問題で非常に明確であるため、正常です：

           [...] pkexec will not allow you to run X11 applications
       as another user since the $DISPLAY and $XAUTHORITY environment
       variables are not set.[...]

    その結果、（ permanent ）エイリアスを作成できます（これが最も簡単な方法です）：

    alias pkexec='pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY'

  2. または、（もう一度）man pkexecが言うように：

           [...] These two variables will be retained if the
       org.freedesktop.policykit.exec.allow_gui annotation on an action is set
       to a nonempty value; this is discouraged, though, and should only be
       used for legacy programs.[...]

    /usr/share/polkit-1/actionsという名前のcom.ubuntu.pkexec.gedit.policyという名前で新しいポリシーファイルを作成できます。最も重要なことは、org.freedesktop.policykit.exec.allow_guiを空でない値に設定することです。

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
  "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
  "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
<policyconfig>

  <action id="com.ubuntu.pkexec.gedit">
    <message gettext-domain="gparted">Authentication is required to run gedit</message>
    <icon_name>gedit</icon_name>
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
    <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/gedit</annotate>
    <annotate key="org.freedesktop.policykit.exec.allow_gui">true</annotate>
  </action>

</policyconfig>

コマンドに最初に適用した後にパスワードを要求しないようにするにはどうすればよいですか？

これら3つの設定タグ：ポリシーファイルのallow_any、allow_inactive、およびallow_activeには、次のオプションを使用できます。

  • no：ユーザーはアクションを実行する権限がありません。したがって、認証の必要はありません。
  • yes：ユーザーは、認証なしでアクションを実行する権限があります。
  • auth_self：認証が必要ですが、ユーザーは管理ユーザーである必要はありません。
  • auth_admin：管理ユーザーとしての認証が必要です。
  • auth_self_keep：auth_selfと同じですが、Sudoのように、承認は数分間続きます。
  • auth_admin_keep：auth_adminと同じですが、Sudoなど、承認は数分間続きます。

ソース： Polkit-構造-アクション

したがって、auth_admin_keepオプションを使用する場合（または、該当する場合、auth_self_keep ）、pkexecはしばらくの間パスワードの再入力を求めません（デフォルトでは、この時間はチェックしたとおり5分に設定されています）。ここでの欠点は、このことは1つだけに適用できることです-同じ-コマンド/アプリケーションであり、すべてのユーザーに有効です（後の構成で無効にされない限り）。

まだ存在しない場合、構成ファイルをどこに保存しますか？

構成ファイルまたはpolkit定義は、2種類に分類できます。

  • アクションは、/usr/share/polkit-1/actionsにあるXML .policyファイルで定義されています。各アクションには、一連のデフォルトの権限が関連付けられています（例：GPartedアクションを使用するには、管理者として識別する必要があります）。デフォルトは無効にできますが、アクションファイルの編集は正しい方法ではありません。このポリシーファイルの名前の形式は次のとおりです。

    com.ubuntu.pkexec.app_name.policy

  • 認可ルールはJavaScriptの.rulesファイルで定義されています。それらは2つの場所にあります：サードパーティのパッケージは/usr/share/polkit-1/rules.dを使用できます（使用する場合は少数ですが）/etc/polkit-1/rules.dはローカル設定用です。 .rulesファイルはユーザーのサブセットを指定し、アクションファイルで指定された1つ（または複数）のアクションを参照し、そのユーザーがこれらのアクションを実行できる制限を決定します。例として、ルールファイルは、GPartedを使用するときに管理者として認証するすべてのユーザーのデフォルト要件を無効にし、特定のユーザーが不要であると判断することができます。または、GPartedを使用することはまったく許可されていません。

ソース： Polkit-Structure

pkexecの使用を構成するGUIアプリケーションはありますか？

私が知っていることから、今まで（2014年1月18日）このようなものは存在しません。将来私が何かを見つけたら、この答えも更新することを忘れないでしょう。

38
Radu Rădeanu

Raduの答えに加えて、エイリアスpkexecは使用しませんが、gksudoです。

なぜ？スクリプトを書き直す必要はありません。

次の構成を使用します。

  • ターミナルを開く
  • cd /usr/local/bin
  • Sudo gedit gksudo（「gksudo」という名前の新しいファイルを作成します

  • 次のコンテンツを作成します。

    • pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY $@

    • （最後の$@を忘れないでください。これはすべてのパラメーターをリダイレクトするためです）

  • 保存して終了

  • ファイルを実行可能にします：chmod 755 gksudo
  • これで、システム上で完全に機能するgksudoコマンドを使用できるようになります（永続的に）。

ドキュメンテーション上の理由から、私が試したものとうまくいかなかったものを書きます。

  • エイリアスpkexec = 'pkexec env [...]'
  • エイリアスgksudo = 'pkexec [...]'
    • 恒久的なものではなく、1つのターミナルにとどまった
  • エイリアスを~/.bash_aliases に追加します
    • 最初に端末を開いた場合に機能します。スクリプトをダブルクリックすると機能しません
  • パラメーター（ln -s pkexec [...]）を使用してpkexecへのリンクを作成します
    • クイックグーグルの後、Linuxはリンクのパラメータをサポートしていないようです
0
TheTrowser