web-dev-qa-db-ja.com

udiskie-mountの権限をpolicykitに追加する

私はDebianjessie/stable（8.4）を使用しています。

Cronジョブ内からudiskie-mountを使用して外部USBドライブをマウントしようとすると、次のようなエラーが発生します。コマンドラインから直接udiskie-mountを使用すると問題なく動作します。

+ udiskie-mount -o umask=0022 /dev/disk/by-uuid/4E1AEA7B1AEA6007 --verbose
DEBUG [2016-04-19 23:00:01,762] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.yml'
DEBUG [2016-04-19 23:00:01,764] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.json'
Unable to init server: Could not connect: Connection refused
Unable to init server: Could not connect: Connection refused
DEBUG [2016-04-19 23:00:02,020] udiskie.config: IgnoreDevice(match={'is_block': False}, value=True) created
DEBUG [2016-04-19 23:00:02,021] udiskie.config: IgnoreDevice(match={'is_external': False}, value=True) created
DEBUG [2016-04-19 23:00:02,021] udiskie.config: IgnoreDevice(match={'is_ignored': True}, value=True) created
DEBUG [2016-04-19 23:00:02,021] udiskie.udisks2: found device owning "/dev/disk/by-uuid/4E1AEA7B1AEA6007": "/org/freedesktop/UDisks2/block_devices/sde1"
DEBUG [2016-04-19 23:00:02,021] udiskie.mount: mounting /org/freedesktop/UDisks2/block_devices/sde1 with {'options': ['umask=0022'], 'fstype': 'ntfs'}
ERROR [2016-04-19 23:00:02,027] udiskie.mount: failed to mount /org/freedesktop/UDisks2/block_devices/sde1:
GDBus.Error:org.freedesktop.UDisks2.Error.NotAuthorizedCanObtain: Not authorized to perform operation

私はこれについてudiskieのメンテナに尋ねました https://github.com/coldfix/udiskie/issues/102 、参照 https://github.com/coldfix/udiskie/issues/102＃issuecomment-211908721

彼はpolkitに権限を追加する必要があると言ったので、次のように https://github.com/coldfix/udiskie/wiki/Permissions のスクリプトごとに/etc/polkit-1/rules.d/50-udiskie.rulesを追加しました。

polkit.addRule(function(action, subject) {
  var YES = polkit.Result.YES;
    // NOTE: there must be a comma at the end of each line except for the last:
      var permission = {   
              // // required for udisks1:
              // "org.freedesktop.udisks.filesystem-mount": YES,
              // "org.freedesktop.udisks.luks-unlock": YES,
              // "org.freedesktop.udisks.drive-eject": YES,
              // "org.freedesktop.udisks.drive-detach": YES,
              // // required for udisks2:
              // "org.freedesktop.udisks2.filesystem-mount": YES,
              // "org.freedesktop.udisks2.encrypted-unlock": YES,
              // "org.freedesktop.udisks2.eject-media": YES,
              // "org.freedesktop.udisks2.power-off-drive": YES,
              // required for udisks2 if using udiskie from another seat (e.g. systemd):
              "org.freedesktop.udisks2.filesystem-mount-other-seat": YES,
              "org.freedesktop.udisks2.filesystem-unmount-others": YES,
              "org.freedesktop.udisks2.encrypted-unlock-other-seat": YES,
              "org.freedesktop.udisks2.eject-media-other-seat": YES,
              "org.freedesktop.udisks2.power-off-drive-other-seat": YES
              };
              if (subject.isInGroup("backup")) {
                return permission[action.id];
              }
             });

メンテナのコメントによると、「別の席からのudiskieを使う」部分以外はすべてコメントアウトしました。

使用を再開しました

# systemctl restart polkitd

しかし、マウントはまだ機能しません。

全体像から見ると、コマンドラインから直接マウントすることがcronジョブとは異なる扱いをされる理由がよくわかりません。誰かが私を啓発できますか？

@derobertは、Debian jessieのPolicyKitのバージョンがJavascript構文を認識しないことを親切に知らせてくれました。これは、これが機能しない理由を説明している可能性があります。したがって、おそらく私は異なる構文のバージョンが必要です。

更新： https://github.com/coldfix/udiskie/wiki/Permissions （セクション "PolicyKit"）の下部にある手順に従って、次の内容でファイル/etc/polkit-1/localauthority/50-local.d/10-udiskie.pklaを作成しました。

[udiskie]
Identity=unix-group:backup
Action=org.freedesktop.udisks2.filesystem-mount-other-seat;org.freedesktop.udisks2.filesystem-unmount-others;org.freedesktop.udisks2.encrypted-unlock-other-seat;org.freedesktop.udisks2.eject-media-other-seat;org.freedesktop.udisks2.power-off-drive-other-seat
ResultAny=yes

しかし、まだ運がありません。これは明らかにJsieで動作するJSバージョンの構文ではなく、古いバージョンです。

セクション 問題のデバッグ：Pollkit は、スタンザの追加を提案します

polkit.addRule(function(action, subject) {
  var prefix = "org.freedesktop.udisks";
  if (action.id.slice(0, prefix.length) == prefix)
    polkit.log(action.id);
});

ファイル/etc/polkit-1/rules.d/10-udisks.rulesに。 「古い」構文の正しい構文とファイル名が何か知っている人はいますか？私はここで推測しているだけです。

polkitudisks
3
Faheem Mitha

かなりの量の髪を引っ張った後、私は最終的に、正気を保つためにワイルドカードを使用することにしました https://github.com/coldfix/udiskie/wiki/Ubuntu-Debian-installation -ガイド 。

ファイル/etc/polkit-1/localauthority/50-local.d/10-udiskie.pkla：を次の内容で作成しました：

[udisks]
Identity=unix-group:plugdev
Action=org.freedesktop.udisks.*
ResultAny=yes
[udisks2]
Identity=unix-group:plugdev
Action=org.freedesktop.udisks2.*
ResultAny=yes

スクリプトで

#!/bin/bash
set -ex
udiskie-mount -o umask=0022 /dev/disk/by-uuid/4E1AEA7B1AEA6007 --verbose
udiskie-umount /dev/disk/by-uuid/4E1AEA7B1AEA6007 --verbose

次の出力が表示されます。

+ udiskie-mount -o umask=0022 /dev/disk/by-uuid/4E1AEA7B1AEA6007 --verbose
DEBUG [2016-04-21 15:29:01,634] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.yml'
DEBUG [2016-04-21 15:29:01,637] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.json'
Unable to init server: Could not connect: Connection refused
Unable to init server: Could not connect: Connection refused
DEBUG [2016-04-21 15:29:01,862] udiskie.config: IgnoreDevice(match={'is_block': False}, value=True) created
DEBUG [2016-04-21 15:29:01,862] udiskie.config: IgnoreDevice(match={'is_external': False}, value=True) created
DEBUG [2016-04-21 15:29:01,862] udiskie.config: IgnoreDevice(match={'is_ignored': True}, value=True) created
DEBUG [2016-04-21 15:29:01,866] udiskie.udisks2: found device owning "/dev/disk/by-uuid/4E1AEA7B1AEA6007": "/org/freedesktop/UDisks2/block_devices/sde1"
DEBUG [2016-04-21 15:29:01,866] udiskie.mount: mounting /org/freedesktop/UDisks2/block_devices/sde1 with {'fstype': 'ntfs', 'options': ['umask=0022']}
DEBUG [2016-04-21 15:29:03,354] udiskie.udisks2: +++ device_mounted: /org/freedesktop/UDisks2/block_devices/sde1
DEBUG [2016-04-21 15:29:03,354] udiskie.udisks2: +++ device_changed: /org/freedesktop/UDisks2/block_devices/sde1
INFO [2016-04-21 15:29:03,354] udiskie.mount: mounted /org/freedesktop/UDisks2/block_devices/sde1 on /media/faheem/My Passport
+ udiskie-umount /dev/disk/by-uuid/4E1AEA7B1AEA6007 --verbose
DEBUG [2016-04-21 15:29:03,490] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.yml'
DEBUG [2016-04-21 15:29:03,492] udiskie.config: Failed to read config file: [Errno 2] No such file or directory: '/home/faheem/.config/udiskie/config.json'
DEBUG [2016-04-21 15:29:03,679] udiskie.config: IgnoreDevice(match={'is_block': False}, value=True) created
DEBUG [2016-04-21 15:29:03,679] udiskie.config: IgnoreDevice(match={'is_external': False}, value=True) created
DEBUG [2016-04-21 15:29:03,679] udiskie.config: IgnoreDevice(match={'is_ignored': True}, value=True) created
DEBUG [2016-04-21 15:29:03,681] udiskie.udisks2: found device owning "/dev/disk/by-uuid/4E1AEA7B1AEA6007": "/org/freedesktop/UDisks2/block_devices/sde1"
DEBUG [2016-04-21 15:29:03,681] udiskie.mount: unmounting /org/freedesktop/UDisks2/block_devices/sde1
DEBUG [2016-04-21 15:29:03,691] udiskie.udisks2: +++ device_changed: /org/freedesktop/UDisks2/block_devices/sde1
DEBUG [2016-04-21 15:29:03,712] udiskie.udisks2: +++ device_unmounted: /org/freedesktop/UDisks2/block_devices/sde1
INFO [2016-04-21 15:29:03,712] udiskie.mount: unmounted /org/freedesktop/UDisks2/block_devices/sde1

メモとコメント：

1）PolicykitまたはPolkitは、それが何であれ、大きな苦痛です。

2）バージョン105以降に使用される構文はJavascriptです-理由は誰にもわかりません。バージョン105以前で使用される構文は上記のとおりです。 Jessieのバージョンは105です。例を参照してください。 https://lists.debian.org/debian-user/2016/01/msg00209.html および http://blog.gmane.org/gmane.comp.freedesktop.policykit/month = 20150901

3）pkactionは、すべての登録済みアクションのリストを提供します。上記のスクリプトを使用すると、リストされているudisks2アクションは次のようになります。

org.freedesktop.udisks2.ata-check-power
org.freedesktop.udisks2.ata-secure-erase
org.freedesktop.udisks2.ata-smart-enable-disable
org.freedesktop.udisks2.ata-smart-selftest
org.freedesktop.udisks2.ata-smart-simulate
org.freedesktop.udisks2.ata-smart-update
org.freedesktop.udisks2.ata-standby
org.freedesktop.udisks2.ata-standby-other-seat
org.freedesktop.udisks2.ata-standby-system
org.freedesktop.udisks2.cancel-job
org.freedesktop.udisks2.cancel-job-other-user
org.freedesktop.udisks2.eject-media
org.freedesktop.udisks2.eject-media-other-seat
org.freedesktop.udisks2.eject-media-system
org.freedesktop.udisks2.encrypted-change-passphrase
org.freedesktop.udisks2.encrypted-change-passphrase-system
org.freedesktop.udisks2.encrypted-lock-others
org.freedesktop.udisks2.encrypted-unlock
org.freedesktop.udisks2.encrypted-unlock-crypttab
org.freedesktop.udisks2.encrypted-unlock-other-seat
org.freedesktop.udisks2.encrypted-unlock-system
org.freedesktop.udisks2.filesystem-fstab
org.freedesktop.udisks2.filesystem-mount
org.freedesktop.udisks2.filesystem-mount-other-seat
org.freedesktop.udisks2.filesystem-mount-system
org.freedesktop.udisks2.filesystem-unmount-others
org.freedesktop.udisks2.loop-delete-others
org.freedesktop.udisks2.loop-modify-others
org.freedesktop.udisks2.loop-setup
org.freedesktop.udisks2.manage-md-raid
org.freedesktop.udisks2.manage-swapspace
org.freedesktop.udisks2.modify-device
org.freedesktop.udisks2.modify-device-other-seat
org.freedesktop.udisks2.modify-device-system
org.freedesktop.udisks2.modify-drive-settings
org.freedesktop.udisks2.modify-system-configuration
org.freedesktop.udisks2.open-device
org.freedesktop.udisks2.open-device-system
org.freedesktop.udisks2.power-off-drive
org.freedesktop.udisks2.power-off-drive-other-seat
org.freedesktop.udisks2.power-off-drive-system
org.freedesktop.udisks2.read-system-configuration-secrets
org.freedesktop.udisks2.rescan

disks polkitアクション にもリストがあります。

私はこのリストを減らしながら、udiskieがcronジョブでマウントおよびアンマウントできるようにすることで、自分自身を楽しませることができました。問題は、これは問題の価値があるのか​​ということです。そして、これらの制限は本当に追加のセキュリティを提供しますか？

4）まだ次のようになっています。これは明らかに警告です-何も動作を停止しているようには見えません。

Unable to init server: Could not connect: Connection refused

更新： Thomas Gとの議論 （彼が言ったように、「うまくいったことは素晴らしいです。しかし、すべてのudisksアクションを許可することは最善のアイデアではないかもしれません。」）の後、これを

[udisks2]
Identity=unix-user:faheem
Action=org.freedesktop.udisks2.filesystem-mount-other-seat;org.freedesktop.udisks2.filesystem-mount
ResultAny=yes

それでも機能しているようです。

フォローアップ： Debian udiskieパッケージへの可能なパッチの議論 。

2
Faheem Mitha