Дозволити групі non-sudo контролювати завдання Upstart

Я намагаюся налаштувати завдання Upstart для запуску під час запуску системи, і це також можуть бути запущені / зупинені членами іншої групи sudo. З попередньою версією я використовував update-rc.dі скрипти, які зберігаються в /etc/init.d/цій роботі, додаючи %Group ALL = NOPASSWD: /etc/init.d/scriptnameдо свого файлу sudoers, але я не можу отримати еквівалент, що працює для Upstart.

Я намагався додати %Group ALL = NOPASSWD: /sbin/initctl start jobnameдо файлу sudoers, але спроба запуску команди start jobnameвидає цю помилку:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Наскільки я можу сказати, це скарга на те, як мій обліковий запис користувача не має права надсилати повідомлення "Пуск" у файлі конфігурації D-Bus для Upstart. Я не зміг знайти фактичну інформацію про те, як редагувати цей файл, щоб дати груповий дозвіл на доступ до певної послуги - чи існує така опція? Чи є спосіб редагувати файл Sudoers, щоб я міг запустити завдання без редагування файлу конфігурації? Чи краще мені дотримуватися попередньої версії?

Ви можете почати з того, щоб дізнатись, де зберігається конфігурація D-Bus, специфічна для Upstart. Бачите цей destination="com.ubuntu.Upstart"фрагмент із повідомлення про помилку? Тепер спробуйте зімкнути його в папці з конфігураційними файлами D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Цей Upstart.confфайл містить кілька прикладів політики. Я думаю, ви могли б спробувати розібрати з них формат політики. Потім спробуйте дозволити вашому конкретному користувачеві лише ті дії, які йому потрібні. Наприклад, як у:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Це повинно дозволити pope_benedictкористувачеві розпочати цю роботу.

Зауважте, що значення атрибутів політики "дозволити" перераховані у вихідному повідомленні про помилку.

Я особисто використовую такий рядок у файлі /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

як описано тут: /server//a/390723/68608

Такого варіанту у судо немає.

Різниця між скриптами Sysv та файлами конфігурації Upstart полягає лише в тому, що: скрипти Sysv - це сценарії, виконувані файли самостійно, і ви можете сказати sudo, щоб дозволити деякій групі їх виконувати. З іншого боку, конфігураційні файли Upstart - це просто файли конфігурації, а не виконувані файли, тому виконання start(symlink to initctl) - це те, що дозволяє sudo. Ваша проблема тут полягає в тому, що дозволяючи людям бігати, initctlви дозволяєте їм initctlвсе.

Рішення хоч і просте, якщо ви заклопотані лише однією роботою. Складіть сценарій, скажіть /usr/bin/jobname.shз

#!/bin/sh
initctl $1 jobname

потім chmod 755 /usr/bin/jobname.shі, нарешті, додайте цей виконуваний файл у файл sudoers:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

Таким чином, кожен може зателефонувати jobname.sh startабо jobname.sh stopконтролювати цю конкретну роботу. Ви можете додати деякі перевірки , щоб тільки startі stopпараметри і т.д.

Як було зазначено вище, демон dbus має файл конфігурації, який спеціалізується на певній програмі.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

Файл конфігурації також встановлює обмеження ресурсів, параметри безпеки тощо.

Докладніше див. Dbus-daemon-1 (1) - Сторінка користувача Linux

Щоб дозволити групі запускати / зупиняти завдання для запуску, додайте до /etc/dbus-1/system.d/Upstart.conf наступну політику

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Ви повинні врахувати наслідки такої політики для безпеки перед тим, як змінити політику за замовчуванням. Члени YourGroupName зможуть запустити / зупинити всі завдання Upstart.