Cho phép nhóm không sudo kiểm soát công việc mới bắt đầu

Tôi đang cố gắng thiết lập một công việc Upstart để chạy khi khởi động hệ thống và điều đó cũng có thể được bắt đầu / dừng bởi các thành viên của một nhóm khác sudo. Với phiên bản trước, tôi đã sử dụng update-rc.dvà các tập lệnh được lưu trữ /etc/init.d/để hoạt động này bằng cách thêm %Group ALL = NOPASSWD: /etc/init.d/scriptnamevào tệp sudoers của tôi, nhưng dường như tôi không thể có được một hoạt động tương đương cho Upstart.

Tôi đã thử thêm %Group ALL = NOPASSWD: /sbin/initctl start jobnamevào tập tin sudoers, nhưng cố gắng chạy lệnh start jobnametạo ra lỗi này:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Gần như tôi có thể nói, đó là một khiếu nại về cách tài khoản người dùng của tôi không được cung cấp sức mạnh để gửi tin nhắn 'Bắt ​​đầu' trong tệp cấu hình D-Bus cho Upstart. Tôi thực sự không thể tìm thấy bất kỳ thông tin nào về cách chỉnh sửa tệp đó để cấp quyền cho nhóm truy cập một dịch vụ cụ thể - có tồn tại tùy chọn như vậy không? Có cách nào để chỉnh sửa tệp Sudoers để tôi có thể chạy công việc mà không cần chỉnh sửa tệp cấu hình không? Tôi có tốt hơn khi chỉ gắn bó với phiên bản trước?

Bạn có thể bắt đầu với việc tìm ra nơi giữ cấu hình D-Bus cụ thể cho Upstart. Xem destination="com.ubuntu.Upstart"đoạn trích đó từ thông báo lỗi? Bây giờ hãy thử grep nó trong thư mục với các tệp cấu hình D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Upstart.confTập tin đó có một số ví dụ về chính sách. Tôi đoán bạn có thể cố gắng tìm ra định dạng của một chính sách từ họ. Sau đó cố gắng cho phép người dùng cụ thể của bạn chỉ những hành động mà nó cần. Ví dụ, như trong:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Điều này sẽ cho phép pope_benedictngười dùng bắt đầu công việc đó.

Lưu ý rằng các giá trị cho các thuộc tính chính sách 'cho phép' được liệt kê trong thông báo lỗi ban đầu của bạn.

Cá nhân tôi đang sử dụng dòng sau trong tệp /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

như được mô tả ở đây: /server//a/390723/68608

Tùy chọn như vậy không tồn tại trong sudo.

Sự khác biệt giữa tập lệnh Sysv và tập tin cấu hình Upstart chỉ là: tập lệnh Sysv là tập lệnh, tập tin thực thi theo cách riêng của chúng và bạn có thể nói với sudo để cho phép một số nhóm thực thi chúng. Mặt khác, các tệp cấu hình khởi động chỉ đơn thuần là các tệp cấu hình, không phải là các tệp thực thi, vì vậy việc thực thi start(symlink đến initctl) là điều sudo cho phép. Vấn đề của bạn ở đây là cho phép mọi người chạy initctlbạn cho phép họ làm initctlmọi thứ.

Giải pháp là đơn giản nếu mối quan tâm của bạn chỉ trong một công việc duy nhất. Tạo một kịch bản, nói /usr/bin/jobname.shvới

#!/bin/sh
initctl $1 jobname

sau đó chmod 755 /usr/bin/jobname.shvà cuối cùng thêm tệp thực thi đó vào tệp sudoers của bạn:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

Bằng cách này, mọi người đều có thể gọi jobname.sh starthoặc jobname.sh stopđể kiểm soát công việc cụ thể này. Bạn có thể muốn thêm một số kiểm tra để chỉ cho phép startvà stoptham số, v.v.

Như được chỉ ra ở trên dbus daemon có một tệp cấu hình chuyên về nó cho một ứng dụng cụ thể.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

Tệp cấu hình cũng thiết lập giới hạn tài nguyên, tham số bảo mật, v.v.

Để biết chi tiết, xem dbus-daemon-1 (1) - Trang người dùng Linux

Để cho phép một nhóm bắt đầu / dừng các công việc mới bắt đầu, hãy thêm chính sách sau vào /etc/dbus-1/system.d/Upstart.conf

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Bạn nên xem xét ý nghĩa bảo mật của chính sách đó trước khi thay đổi chính sách mặc định. Thành viên của YourgroupName sẽ có thể bắt đầu / dừng tất cả các công việc Upstart.