Как пордужить polkit с доменными группами?

Не могу понять как впихнуть это в polkit

Куда конкретно тебе нужно это впихнуть?

Насколько я понял, надо создать в /etc/polkit-1/rules.d/99-ad.rules что-то типа..

polkit.addAdminRule(function(action, subject) {
    return ["unix-group:local linux machine administrator@domain.lan"];
});

Но оно так не сработало.

Во-первых, не 99-, а 00-: в polkit правила исполняются в порядке перечисления, и первая функция, которая вернула что-то отличное от неопределённости, и используется.

Во-вторых, если не сработает, можно подставить аккуратный костыль, пользуясь тем фактом, что правила, заданные через addAdminRule(), выполняются на каждое действие заново, из них есть доступ к субъекту и они не обязаны быть идемпотентными:

polkit.addAdminRule(function(action, subject) {
    if (subject.isInGroup("local linux machine administrator@domain.lan") {
        return ["unix-user:" + subject.user];
    }
});

В-третьих, там ещё есть какая-то хрень, которая называется unix-netgroup:. Я с доменами в линуксе имел ровно 0 дела, но это случайно не оно?

К сожалению, это не сработало.

Ради теста я добавил пользователя в группу wheel, которая определена в следующем файле, и всё сразу завелось. Так что polkit точно рабочий, просто не хочет принимать имя группы. Я так понял, это js? А нельзя ли впихнуть стрингу в переменную? Где вообще можно хорошенечко почитать про кишки polkit-а, чтобы понимать как он устроен?

К сожалению, это не сработало.

Первое или второе?

Я так понял, это js? А нельзя ли впихнуть стрингу в переменную?

Да, это js. Не распарсил вопрос.

Где вообще можно хорошенечко почитать про кишки polkit-а, чтобы понимать как он устроен?

man 8 polkit и ещё здесь.

Второе не сработало. Я просто не очень понимаю на каком моменте оно отказывается понимать что за группа нужна. Может можно впихнуть это как строку куда-нибудь в переменную, а потом сконнектировать с первой частью про unix:user?

А нет возможности через gid сделать? Он же вроде как постоянный. На двух машинах совпал.

Ну закинь туда отладочной распечатки (через polkit.log, в мане написано). Попробуй распечатать subject.groups — может с точки зрения полкита эта группа вообще не существует, или называется как-то по-другому.

Через gid, ну попробуй вернуть unix-group:<gid>. Только это криво, потому что совпадение gid никем не гарантируется.

Привет, тебе удалось решить?

unix-netgroup - это NIS netgroup.