Запретить или требовать пароль для выключения/перезагрузки компьютера

3

2

В современных системах какая-то модная дичь, позволяющая любому активному пользователю выключать, суспендить или перезагружать компьютер. Правила эти прописаны в /usr/share/polkit-1/actions/org.freedesktop.login1.policy. Редактировать этот файл не рекомендуется, т.к. он перезапишется при обновлении. Вместо этого они предлагают создать .rules файл, например в /usr/share/polkit-1/rules.d/.
Ок, создал файл /usr/share/polkit-1/rules.d/local.shutdown.rules

polkit.addRule(function(action, subject) {
    if (
        action.id == "org.freedesktop.login1.reboot" ||
        action.id == "org.freedesktop.login1.reboot-ignore-inhibit" ||
        action.id == "org.freedesktop.login1.reboot-multiple-sessions" ||
        action.id == "org.freedesktop.login1.power-off" ||
        action.id == "org.freedesktop.login1.power-off-ignore-inhibit" ||
        action.id == "org.freedesktop.login1.power-off-multiple-sessions" ||
        action.id == "org.freedesktop.login1.halt" ||
        action.id == "org.freedesktop.login1.halt-multiple-sessions" ||
        action.id == "org.freedesktop.login1.halt-ignore-inhibit" ||
        action.id == "org.freedesktop.login1.suspend" ||
        action.id == "org.freedesktop.login1.suspend-multiple-sessions" ||
        action.id == "org.freedesktop.login1.suspend-ignore-inhibit" ||
        action.id == "org.freedesktop.login1.hibernate" ||
        action.id == "org.freedesktop.login1.hibernate-multiple-sessions" ||
        action.id == "org.freedesktop.login1.hibernate-ignore-inhibit"
       ) {
                return polkit.Result.AUTH_ADMIN;
    }
});

Однако нифига, по прежнему из диалога входа SDDM и из меню KDE залогиненного пользователя по прежнему можно перезагрузить и выключить без запроса прав. Что за фигня?

Понавыдумали всякую дичь переусложнённую...

Система Ubuntu 18.04, если это что-то значит.

Ссылка

←	Ubuntu невозможно скопировать файл на сетевой диск

Ищу аналог pidgin.

→

вопрос-то в чем?

ЗЫ как бе логично что залогиненный в графический сеанс может выключать свой комп не спрашивая у себя самого пароль рута лол)))

~~mos~~ ★★☆☆☆
(02.01.19 19:57:17 MSK)

Ответ на: комментарий от mos 02.01.19 19:57:17 MSK

вопрос-то в чем?

Вопрос в том как сделать чтобы работало как хочется.

ЗЫ как бе логично что залогиненный в графический сеанс может выключать свой комп не спрашивая у себя самого пароль рута лол)))

Да не важно, настройки на то и настройки чтобы их можно было менять, если дефолт по каким-то причинам не подходит. Или линукс уже до такой степени скатился что дефолт нельзя поменять?

Deleted
(02.01.19 20:03:07 MSK)

Ссылка

Разве группу не надо указать?

subject.isInGroup("users")) {
            return subject.active ? polkit.Result.AUTH_ADMIN : polkit.Result.NO;
    }

Yorween ★
(02.01.19 20:12:12 MSK)

Ответ на: комментарий от Yorween 02.01.19 20:12:12 MSK

Нет. Это нужно если ты хочешь разрешить эти действия без пароля пользователям в указанной группе.

Deleted
(02.01.19 20:17:43 MSK)
Последнее исправление: pyroman 02.01.19 20:19:13 MSK (всего исправлений: 1)

Ответ на: комментарий от mos 02.01.19 19:57:17 MSK

А если на компе одновременно три индуса на разных мониторах работают? Multiseat или че-то типа того.

Или попросту удалённые сеансы открыты.

tsmx ★
(02.01.19 20:26:42 MSK)

Ответ на: комментарий от tsmx 02.01.19 20:26:42 MSK

залогиненный В ХАРДВАРНУЮ КОНСОЛЬ.
а если в неё 3 индуса то и надо думать.
у ТС просто хотелка, впрочем реализуемая за 5 минут гугления.

~~mos~~ ★★☆☆☆
(02.01.19 20:33:43 MSK)

Ссылка

Ответ на: комментарий от Deleted 02.01.19 20:17:43 MSK

По смыслу поста, запретить юзерам указанные действия и есть цель.

Попробовал простой конфиг

cat /etc/polkit-1/rules.d/60-noshutdown.rules
polkit.addRule(function(action, subject) {
    if (action.id == "org.freedesktop.login1.power-off" ||
        action.id == "org.freedesktop.login1.power-off-multiple-sessions")
	{
            return polkit.Result.NO;
	}
});

Получил заблокированную кнопку выключения в гуях, а при выключении из терминала получаю

Failed to set wall message, ignoring: Interactive authentication required.
Failed to call ScheduleShutdown in logind, proceeding with immediate shutdown: Access denied
Failed to set wall message, ignoring: Interactive authentication required.
Failed to power off system via logind: Access denied

Насколько могу оценить, все работает.

Yorween ★
(02.01.19 20:40:23 MSK)

Ответ на: комментарий от Yorween 02.01.19 20:40:23 MSK

А ADMIN_AUTH вместо NO работает? Интересует всё же запрос пароля админа, а не категорический отказ.

Deleted
(02.01.19 20:44:31 MSK)

Ответ на: комментарий от Deleted 02.01.19 20:44:31 MSK

AUTH_ADMIN правильно. И да, работает.

Yorween ★
(02.01.19 20:47:57 MSK)

Ответ на: комментарий от Yorween 02.01.19 20:47:57 MSK

С одной поправкой. Если из гуя выключать, то пароль не запрашивает, просто ничего не происходит. Если из терминала, то запрашивает.

Yorween ★
(02.01.19 20:50:07 MSK)

Ответ на: комментарий от Yorween 02.01.19 20:47:57 MSK

AUTH_ADMIN правильно.

Да, в конфиге так и прописано.

И да, работает.

Мда... То есть ты прописал точно так же как у меня в пером посте пример по такому же пути?

Deleted
(02.01.19 20:51:08 MSK)

Ответ на: комментарий от Deleted 02.01.19 20:51:08 MSK

Я не в курсе, как в убунту, поэтому не предъявляю по путям и прочему. Где у меня файл, я показывал:

cat /etc/polkit-1/rules.d/60-noshutdown.rules

Yorween ★
(02.01.19 20:52:15 MSK)

Ссылка

Ответ на: комментарий от Yorween 02.01.19 20:50:07 MSK

С одной поправкой. Если из гуя выключать, то пароль не запрашивает, просто ничего не происходит.

По идее должен вылазить такой диалог: http://i.imgur.com/0YiBvgY.png

Deleted
(02.01.19 20:53:31 MSK)

Ответ на: комментарий от Deleted 02.01.19 20:53:31 MSK

Диалог появляется, когда из терминала пытаюсь выключить. Может у меня не стоит чего, не знаю. Лениво сейчас логи шерстить.

Попробуй в /etc/... бросить мой конфиг и посмотреть, что выйдет.

Yorween ★
(02.01.19 20:56:28 MSK)

Ответ на: комментарий от Yorween 02.01.19 20:56:28 MSK

Вообще у меня директория rules.d уже была в /usr/share/polkit-1/rules.d/ и там лежат ещё какие-то дистровские файлы .rules, а в /etc/polkit-1/ нет директории rules.d.

Deleted
(02.01.19 20:58:59 MSK)

Ответ на: комментарий от Deleted 02.01.19 20:58:59 MSK

https://wiki.archlinux.org/index.php/Polkit

Authorization rules are defined in JavaScript .rules files. They are found in two places: 3rd party packages can use /usr/share/polkit-1/rules.d (though few if any do) and /etc/polkit-1/rules.d is for local configuration.

Yorween ★
(02.01.19 21:00:32 MSK)

Ответ на: комментарий от Yorween 02.01.19 21:00:32 MSK

Ну по сути обе должны работать.

Deleted
(02.01.19 21:01:16 MSK)

Ссылка

Ответ на: комментарий от Yorween 02.01.19 21:00:32 MSK

Ладно, поковыряюсь ещё, спасибо.

Deleted
(02.01.19 21:02:00 MSK)

Ответ на: комментарий от Deleted 02.01.19 21:02:00 MSK

Кстати, можно ведь по journalctl посмотреть, что пишет polkit.service. Подгружает он файлы по твоему пути или нет.

Jan 02 20:46:12 arch polkitd[515]: Loading rules from directory /etc/polkit-1/rules.d
Jan 02 20:46:12 arch polkitd[515]: Loading rules from directory /usr/share/polkit-1/rules.d
Jan 02 20:46:12 arch polkitd[515]: Finished loading, compiling and executing 4 rules

Yorween ★
(02.01.19 21:04:26 MSK)

Ответ на: комментарий от Yorween 02.01.19 21:04:26 MSK

Нет таких сообщений. Вообще у меня оказывается эти .rules файлы не поддерживаются, т.к. старый polkit, лол. https://askubuntu.com/questions/536591/policykit-rules-never-come-into-effect

В 18.04 всё ещё версия 0.105.

Deleted
(02.01.19 21:19:03 MSK)

Ссылка

Вобщем, создал файл /etc/polkit-1/localauthority/50-local.d/50-noshutdown.pkla с таким содержимым:

## https://superuser.com/questions/354678/what-is-the-correct-way-to-prevent-non-root-users-from-issuing-shutdowns-or-rebo
## https://www.linux.org.ru/forum/general/14709882

[Disallow shutdown]
Identity=unix-user:*
Action=org.freedesktop.login1.reboot;org.freedesktop.login1.reboot-ignore-inhibit;org.freedesktop.login1.reboot-multiple-sessions;org.freedesktop.login1.set-reboot-to-firmware-setup;org.freedesktop.login1.power-off;org.freedesktop.login1.power-off-ignore-inhibit;org.freedesktop.login1.power-off-multiple-sessions;org.freedesktop.login1.halt;org.freedesktop.login1.halt-ignore-inhibit;org.freedesktop.login1.halt-multiple-sessions;org.freedesktop.login1.suspend;org.freedesktop.login1.suspend-ignore-inhibit;org.freedesktop.login1.suspend-multiple-sessions;org.freedesktop.login1.hibernate;org.freedesktop.login1.hibernate-ignore-inhibit;org.freedesktop.login1.hibernate-multiple-sessions
ResultAny=no
ResultInactive=no
ResultActive=auth_admin

Идиотизм блин, понавыдумали упоротой фигни, хрен уследишь за всей этой дичью. В результате из пользовательских сессий кнопки выключения и перезагрузки просто выкидывают из сессии. Ок, и так сойдёт. Но при этом в окне входа SDDM по прежнему есть кнопки выключения и перезагрузки и они по прежнему работают, ведь SDDM работает из под рута.

В четвёртых кедах это просто через GUI настраивалось в настройках, там была тупо галочка и всё, после чего ни в KDM, ни из сессий выключение и перезагрузка не работала, запашивался пароль админа (пользователя в группе sudo).

Deleted
(02.01.19 22:12:53 MSK)