Privilege separation в питоне

Запускаешь скрипт от рута, создаешь multiprocessing.Process(target=привилегированный_код), в основном процессе вызываешь os.setuid(). Общение через multiprocessing.Pipe или Queue

Увы, я не могу изначально запускаться от рута, т. к. это python-плагин к изначально непривилегированному софту.

Можно дёрнуть udisks2 за dbus api (там есть smart в /drives/). Я похожим образом себе пилил бэкап шифрованной флешки с браузером из непривилигированного процесса (https://github.com/Jajauma/www-data/blob/2903b636d9053b4bd98e5f08429ab6753049...), метод возвращает открытый fd который можно передать дальше например в dd, и аутентифицирует используя текущие полиси polkit.

Да, я сразу вспомнил про udisks2, но там нет поддержки devstat log, который мне тоже нужен.

Хотя, наверное, это повод её туда впилить.

Ну тогда скостылить так или иначе. Если преднастроенный sudo скучно, можно повеселиться и сделать сокет-активируемую службу которая будет дёргать smartctl с ключами (сокет очевидно должен быть world-writable).

Че-то не пойму вопроса. Ты же и так запускаешь из под непривилегированного пользователя, что еще требуется?

Осталось решить вопрос о разделении привилегий, т. е. сделать так, чтобы не давать основному процессу права на доступ к дискам.

Тут можно selinux поковырять

Это если оно-чего-надо в libatasmart есть. А то иначе Лёню Горшкова просить чтоб добавил.

Нет там его. Я уже читаю ACS-2...

Да, а кусок кода надо пускать от рута.

Дело хозяйское конечно, но мне кажется используя технические преимущества современного инита припилить отдельный ленивый лунхер для smartctl и там же не отходя от кассы получить IPC over unix socket как-то полегче. (Рассуждаю с дивана, если что.)

Да, а кусок кода надо пускать от рута.

Может групповыми политиками разрулить?

либо sudo, либо cap на бинарник. Питоновый код можно изменить, поэтому никак.

а через polkit никак?

Да толку-то. Я изначально думал избежать накладных расходов на spawn нового питоньего процесса каждый раз (хотя это не имеет смысла, учитывая саму задачу и период опроса). А если на это забивать, то действительно проще всего написать сокет-активируемый юнит с StandardInput=socket и StandardOutput=socket.

Там ещё проблема с парсингом Total_LBAs_(Read|Written) на моём SSD, little vs. big-endian перепутаны. И вот хз, это особенность моего SSD или бага либатасмарта.

Возможно, действительно проще не вы5.1ываться и сделать так, как ты советуешь. Просто udisks привлекает тем, что кэширует результаты и ещё ряд рядом лежащих значений в удобном виде экспортирует.