Chạy ứng dụng GUI với tư cách người dùng khác (không phải root)

Giả sử tôi có 2 tài khoản người dùng user1và user2. Khi tôi đăng nhập với tư cách user1, và sau đó chuyển sang user2sử dụng su, tôi có thể thực thi các chương trình dòng lệnh, nhưng các chương trình GUI không thành công.

Thí dụ:

user1@laptop:~$ su - user2
user2@laptop:~$ leafpad ~/somefile.txt
No protocol specified
leafpad: Cannot open display: 

Vậy làm thế nào tôi có thể chạy một ứng dụng GUI?

su so với su -

Khi trở thành người dùng khác, bạn thường muốn sử dụng su - user2. Dấu gạch ngang sẽ buộc user2's .bash_profilecó nguồn gốc.

xhost

Ngoài ra, bạn sẽ cần cấp cho người dùng quyền truy cập vào màn hình của bạn. Điều này được điều chỉnh bởi X. Bạn có thể sử dụng lệnh xhost +để cho phép người dùng khác hiển thị GUI cho máy tính để bàn của user1.

LƯU Ý: Khi chạy, xhost +bạn sẽ muốn chạy cái này trong khi vẫn ở trong vỏ thuộc về người dùng1.

$ HIỂN THỊ

Khi bạn trở thành user2, bạn có thể cần đặt biến môi trường $DISPLAY.

$ export DISPLAY=:0.0

Bạn cần chia sẻ mã xác thực từ user1 (giả sử ~là nhà của user1 ):

cat ~/.Xauthority | sudo -u user2 -i tee .Xauthority > /dev/null

Bạn có thể sử dụng chuyển tiếp X11:

ssh -XY otheruser@localhost your-gui-program-name-here

Bạn có thể bắt đầu ứng dụng từ một người dùng khác. Tôi sẽ khởi động ứng dụng gimp từ user2, trong khi đăng nhập (GUI) với người dùng 1:

$ xhost +
$ sudo su user2

(nhập thông qua)

$ gimp

Thưởng thức :)

Bạn có thể thử lệnh sux:

sux user2

sux sẽ xử lý các công cụ $ HIỂN THỊ cho bạn. Bạn có thể cần phải cài đặt nó với:

sudo apt-get install sux

trong Debian / Ubuntu.

Thay thế cho sux, để chạy lệnh đồ họa một cách an toàn ( firefox-esrví dụ bên dưới) như $AUTHUSER( gueství dụ bên dưới):

AUTHUSER=guest
AUTHSTRING=SI:localuser:${AUTHUSER}
xhost +${AUTHSTRING} > /dev/null
SUDO_ASKPASS=/usr/bin/ssh-askpass
export SUDO_ASKPASS
sudo -k --askpass -u ${AUTHUSER} /usr/bin/firefox-esr
xhost -${AUTHSTRING} > /dev/null
sudo -K

mã này:

1. cung cấp cho guestngười dùng quyền truy cập vào người dùng hiện tại của bạn $DISPLAYthông quaxhost +SI:localuser:guest
2. sử dụng ssh-askpassđể đồ họa hỏi bạn mật khẩu (tất nhiên, bạn có thể sử dụng sudoers(5) NOPASSWD:để tránh điều này, nếu chính sách bảo mật của bạn cho rằng nó ổn. Hoặc bạn có thể sử dụng các askpasschương trình khác hoặc chỉ định chúng trong các tệp cấu hình (xem sudo(8)chi tiết về --askpass)
3. nếu mật khẩu ổn (và bạn có quyền trong sudoers(5)) thì nó sẽ chạy lệnh /usr/bin/firefox-esrnhư một người dùng khác ( guest)
4. sau khi chương trình hoàn tất, quyền cho người dùng khác ( guest) truy cập của bạn $DISPLAYbị thu hồi thông quaxhost -SI:localuser:guest

5. cuối cùng, sudo -Kxóa mật khẩu đã lưu trong bộ nhớ cache, vì vậy lần gọi tiếp theo ssh-askpasssẽ yêu cầu bạn nhập lại mật khẩu (thay vì sử dụng mật khẩu đã lưu trong bộ nhớ cache)

   trong khi nó là công việc ít hơn những gì gksu(8)hoặc sux(8)đã làm, nó có thể được kịch bản, và nó là an toàn hơn:

   • xhost + (bất kỳ người dùng nào cũng sẽ có quyền truy cập vào màn hình đồ họa của bạn miễn là nó có hiệu lực)
   • người dùng khác có thể đọc được ~ / .xauth (người dùng đó truy cập không xác định vào màn hình của bạn)
   • what gksu/ suxdid (bản sao tạm thời ~/.Xauthority, cho phép người dùng được chỉ định sao chép MIT-MAGIC-COOKIE-1và tiếp tục sử dụng màn hình của bạn ngay cả khi gksu / sux kết thúc (miễn là bạn không tắt máy hoặc đăng xuất khỏi màn hình - trình bảo vệ màn hình, ngủ đông, v.v. bánh quy).

vì nó sẽ chỉ cho phép một người dùng cục bộ truy cập vào màn hình của bạn, và sau đó chỉ khi lệnh chạy (khi lệnh kết thúc, $AUTHUSERsẽ không còn có thể truy cập vào màn hình của bạn theo bất kỳ cách nào).

Một sự thay thế an toàn là ssh -X(không có -Ymà thực sự làm cho bạn kém an toàn! Thấy ForwardX11Trustedở ssh_config(5)để biết chi tiết), như là dễ dàng hơn để sử dụng nếu bạn không kịch bản nó, nhưng nó gây ra overhead additinal (ví dụ. Nó là chậm hơn) và một số chương trình có thể không hoạt động chính xác mà không an toàn -Y .

Bạn cần tải UI cài đặt là user2 .

Hãy thử làm theo điều này:

Đăng nhập bằng root :

sudo su

Kiểm tra máy chủ x:

xclock

Nếu bạn có thể thấy đồng hồ đang chạy, thật tuyệt, hãy thử chạy cái này:

xhost

Kết quả sẽ như thế này:

xhost SI:localuser:tri
# tri is my user name

Bây giờ hãy để user2 truy cập xhost

xhost +SI:localuser:user2

Bây giờ hãy thử đăng nhập lại vào user2 và thử mở bất kỳ chương trình GUI nào.