Izinkan grup non-sudo mengontrol pekerjaan pemula

Saya mencoba mengatur pekerjaan pemula untuk dijalankan pada startup sistem, dan itu juga dapat dimulai / dihentikan oleh anggota grup selain sudo. Dengan versi sebelumnya, saya menggunakan update-rc.ddan skrip disimpan /etc/init.d/untuk mendapatkan ini bekerja dengan menambahkan %Group ALL = NOPASSWD: /etc/init.d/scriptnameke file sudoers saya, tetapi saya sepertinya tidak bisa mendapatkan yang setara bekerja untuk pemula.

Saya mencoba menambahkan %Group ALL = NOPASSWD: /sbin/initctl start jobnameke file sudoers, tetapi mencoba menjalankan perintah start jobnamemenghasilkan kesalahan ini:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Sejauh yang saya tahu, itu adalah keluhan tentang bagaimana akun pengguna saya tidak diberi kekuatan untuk mengirim pesan 'Mulai' dalam file konfigurasi D-Bus untuk Pemula. Saya belum dapat menemukan informasi tentang cara mengedit file itu untuk memberikan izin grup untuk mengakses layanan tertentu - apakah ada opsi seperti itu? Apakah ada cara untuk mengedit file Sudoers sehingga saya dapat menjalankan pekerjaan tanpa mengedit file konfigurasi? Apakah saya lebih baik hanya bertahan dengan versi sebelumnya?

Anda dapat mulai dengan mencari tahu di mana konfigurasi D-Bus khusus untuk pemula ini disimpan. Lihat destination="com.ubuntu.Upstart"cuplikan itu dari pesan kesalahan? Sekarang cobalah untuk menangkapnya di folder dengan file konfigurasi D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Bahwa Upstart.confberkas memiliki beberapa contoh kebijakan. Saya kira Anda bisa mencoba mencari tahu format kebijakan dari mereka. Kemudian cobalah untuk mengizinkan pengguna spesifik Anda hanya tindakan yang diperlukan. Misalnya, seperti pada:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Ini harus memungkinkan pope_benedictpengguna untuk memulai pekerjaan itu.

Perhatikan bahwa nilai untuk atribut kebijakan 'izinkan' tercantum dalam pesan kesalahan asli Anda.

Saya pribadi menggunakan baris berikut di file /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

seperti yang dijelaskan di sini: /server//a/390723/68608

Opsi semacam itu tidak ada di sudo.

Perbedaan antara skrip Sysv dan file konfigurasi Pemula adalah hanya: Skrip Sysv adalah skrip, dapat dieksekusi dengan haknya sendiri dan Anda dapat memberi tahu sudo untuk mengizinkan beberapa grup untuk mengeksekusi mereka. Di sisi lain, file konfigurasi Pemula hanyalah file konfigurasi, bukan file yang dapat dieksekusi, jadi eksekusi start(symlink to initctl) adalah hal yang dimungkinkan oleh sudo. Masalah Anda di sini adalah memungkinkan orang untuk menjalankan initctlAnda mengizinkan mereka untuk initctlsegalanya.

Solusi itu sederhana jika kekhawatiran Anda hanya dalam satu pekerjaan. Buat skrip, katakan /usr/bin/jobname.shdengan

#!/bin/sh
initctl $1 jobname

lalu chmod 755 /usr/bin/jobname.shdan akhirnya tambahkan file executable itu ke file sudoers Anda:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

Dengan cara ini, semua orang dapat menelepon jobname.sh startatau jobname.sh stopmengontrol pekerjaan tertentu ini. Anda mungkin ingin menambahkan beberapa pemeriksaan untuk hanya mengizinkan startdan stopparameter dll.

Seperti yang ditunjukkan di atas, dbus daemon memiliki file konfigurasi yang mengkhususkannya untuk aplikasi tertentu.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

File konfigurasi juga menetapkan batas sumber daya, parameter keamanan, dan sebagainya.

Untuk detailnya lihat dbus-daemon-1 (1) - halaman manual Linux

Untuk mengizinkan grup memulai / menghentikan Pekerjaan pemula, tambahkan kebijakan berikut ke /etc/dbus-1/system.d/Upstart.conf

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Anda harus mempertimbangkan implikasi keamanan dari kebijakan tersebut sebelum mengubah kebijakan default. Anggota YourGroupName akan dapat memulai / menghentikan semua pekerjaan pemula.