[devel] О нескольких группах и их уместности в пакете setup

[devel] О нескольких группах и их уместности в пакете setup

[Arseny Maslennikov]

Hi!

(Довольно давно уже) поступило предложение расширить group.master
несколькими группами и приколоченными их GID:
  https://git.altlinux.org/tasks/427655

Они зачем-то все в одном коммите, и мотивация к добавлению не вполне
ясна (смазана и плохо артикулирована; можно до чего-нибудь догадаться,
но не более).
Я бы предпочёл их разбить на несколько категорий; и к их добавлению
куда-нибудь для каждой категории будет отдельный мотив.

  clock:x:56:
  input:x:57:
  render:x:58:
  sgx:x:59:
  tape:x:60:
  video:x:61:
Про эти группы мы знаем, что они упоминаются в 50-udev-default.rules
Это повод включить их в пакет udev, но не обязательно в setup.

  empower:x:62:
Это кусок run0; он не будет иметь смысла в системах без run0, если мы
только не решим в качестве полиси, что у нас в дистрибутиве эта группа
всегда получает привилегированные капы.
Это повод упаковать группу в один пакет с run0, но не обязательно в
setup.

  systemd-journal:x:84:
Программа journalctl любит писать:
> Hint: You are currently not seeing messages from other users and the system.
>       Users in groups 'adm', 'systemd-journal', 'wheel' can see all messages.
>       Pass -q to turn off this notice.
Т. е. такая группа является интерфейсом навроде wheel, но слабее.
С другой стороны, там же есть adm и wheel. Как-то странно, что имена,
явно начинающиеся с "systemd-", упаковываются в пакет, присутствующий на
каждой системе.

  systemd-network:x:85:
  systemd-resolve:x:86:
  systemd-timesync:x:87:
  systemd-coredump:x:88:
  systemd-oom:x:89:
  systemd-journal-remote:x:90:
И соотв. UID тоже.
Это какие-то программы из состава systemd, эти gid и uid можно упаковать
вместе со своими программами, но не обязательно в setup.

Если я что-то упустил — буду рад уточнениям и дополнениям. :)

Re: [devel] О нескольких группах и их уместности в пакете setup

[Leonid Krivoshein]

Привет!


On 9/23/26 3:44 PM, Arseny Maslennikov wrote:
> Hi!
> 
> (Довольно давно уже) поступило предложение расширить group.master
> несколькими группами и приколоченными их GID:
>    https://git.altlinux.org/tasks/427655
> 
> Они зачем-то все в одном коммите, и мотивация к добавлению не вполне
> ясна (смазана и плохо артикулирована; можно до чего-нибудь догадаться,
> но не более).
> Я бы предпочёл их разбить на несколько категорий; и к их добавлению
> куда-нибудь для каждой категории будет отдельный мотив.
> 
>    clock:x:56:
>    input:x:57:
>    render:x:58:
>    sgx:x:59:
>    tape:x:60:
>    video:x:61:
> Про эти группы мы знаем, что они упоминаются в 50-udev-default.rules
> Это повод включить их в пакет udev, но не обязательно в setup.
> 
>    empower:x:62:
> Это кусок run0; он не будет иметь смысла в системах без run0, если мы
> только не решим в качестве полиси, что у нас в дистрибутиве эта группа
> всегда получает привилегированные капы.
> Это повод упаковать группу в один пакет с run0, но не обязательно в
> setup.
> 
>    systemd-journal:x:84:
> Программа journalctl любит писать:
>> Hint: You are currently not seeing messages from other users and the system.
>>        Users in groups 'adm', 'systemd-journal', 'wheel' can see all messages.
>>        Pass -q to turn off this notice.
> Т. е. такая группа является интерфейсом навроде wheel, но слабее.
> С другой стороны, там же есть adm и wheel. Как-то странно, что имена,
> явно начинающиеся с "systemd-", упаковываются в пакет, присутствующий на
> каждой системе.
> 
>    systemd-network:x:85:
>    systemd-resolve:x:86:
>    systemd-timesync:x:87:
>    systemd-coredump:x:88:
>    systemd-oom:x:89:
>    systemd-journal-remote:x:90:
> И соотв. UID тоже.
> Это какие-то программы из состава systemd, эти gid и uid можно упаковать
> вместе со своими программами, но не обязательно в setup.
> 
> Если я что-то упустил — буду рад уточнениям и дополнениям. :)

Fedora с версии 42 перешла на sysusers.d, а здесь обсуждается статика?
И какое вообще целеполагание (какая цель улучшения)?

По первой группе: это из basic.conf: https://systemd.io/UIDS-GIDS/


-- 
WBR, Leonid Krivoshein.

Re: [devel] О нескольких группах и их уместности в пакете setup

[Anton Midyukov]

23.09.2026 15:44, Arseny Maslennikov пишет:
> Hi!
> 
> (Довольно давно уже) поступило предложение расширить group.master
> несколькими группами и приколоченными их GID:
>   https://git.altlinux.org/tasks/427655
> 
[...]

А можно добавить officer:x:64:, пока этот GID кому-нибудь не назначили?

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] О нескольких группах и их уместности в пакете setup

[Alexey V. Vissarionov]

Good ${greeting_time}!

On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:

 >> (Довольно давно уже) поступило предложение расширить
 >> group.master несколькими группами и приколоченными их GID:
 >> https://git.altlinux.org/tasks/427655
 > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
 > назначили?

А это кто и для чего? И зачем ему фиксированный UID?
Например, у меня такого нигде нет.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] О нескольких группах и их уместности в пакете setup

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 708 bytes --]

On Thu, Sep 24, 2026 at 11:06:10AM +0300, Alexey V. Vissarionov wrote:
> Good ${greeting_time}!
> 
> On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:
> 
>  >> (Довольно давно уже) поступило предложение расширить
>  >> group.master несколькими группами и приколоченными их GID:
>  >> https://git.altlinux.org/tasks/427655
>  > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
>  > назначили?
> 
> А это кто и для чего? И зачем ему фиксированный UID?
> Например, у меня такого нигде нет.

+1

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] О нескольких группах и их уместности в пакете setup

[Anton Midyukov]

24.09.2026 11:21, Arseny Maslennikov пишет:
> On Thu, Sep 24, 2026 at 11:06:10AM +0300, Alexey V. Vissarionov wrote:
>> Good ${greeting_time}!
>>
>> On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:
>>
>>  >> (Довольно давно уже) поступило предложение расширить
>>  >> group.master несколькими группами и приколоченными их GID:
>>  >> https://git.altlinux.org/tasks/427655
>>  > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
>>  > назначили?
>>
>> А это кто и для чего? И зачем ему фиксированный UID?
>> Например, у меня такого нигде нет.
> 
> +1
> 
Так исторически сложилось.

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] О нескольких группах и их уместности в пакете setup

[Denis Medvedev]

On Thu, 24 Sep 2026 11:50:49 +0300
Anton Midyukov <antohami@altlinux.org> wrote:

> 24.09.2026 11:21, Arseny Maslennikov пишет:
> > On Thu, Sep 24, 2026 at 11:06:10AM +0300, Alexey V. Vissarionov wrote:
> >> Good ${greeting_time}!
> >>
> >> On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:
> >>
> >>  >> (Довольно давно уже) поступило предложение расширить
> >>  >> group.master несколькими группами и приколоченными их GID:
> >>  >> https://git.altlinux.org/tasks/427655
> >>  > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
> >>  > назначили?
> >>
> >> А это кто и для чего? И зачем ему фиксированный UID?
> >> Например, у меня такого нигде нет.
> > 
> > +1
> > 
> Так исторически сложилось.
> 
Он нужен в системах в которых есть поддержка отдельного от root офицера
безопасности. При этом для этого офицера в pam надо указывать его numeric uid,
и этот офицер должен быть в списке привилегированных аккаунтов.


-- 
    

Re: [devel] О нескольких группах и их уместности в пакете setup

[Anton Midyukov]

24.09.2026 12:20, Denis Medvedev пишет:
> On Thu, 24 Sep 2026 11:50:49 +0300
> Anton Midyukov <antohami@altlinux.org> wrote:
> 
>> 24.09.2026 11:21, Arseny Maslennikov пишет:
>>> On Thu, Sep 24, 2026 at 11:06:10AM +0300, Alexey V. Vissarionov wrote:
>>>> Good ${greeting_time}!
>>>>
>>>> On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:
>>>>
>>>>  >> (Довольно давно уже) поступило предложение расширить
>>>>  >> group.master несколькими группами и приколоченными их GID:
>>>>  >> https://git.altlinux.org/tasks/427655
>>>>  > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
>>>>  > назначили?
>>>>
>>>> А это кто и для чего? И зачем ему фиксированный UID?
>>>> Например, у меня такого нигде нет.
>>>
>>> +1
>>>
>> Так исторически сложилось.
>>
> Он нужен в системах в которых есть поддержка отдельного от root офицера
> безопасности. При этом для этого офицера в pam надо указывать его numeric uid,
> и этот офицер должен быть в списке привилегированных аккаунтов.
> 
> 

И GID и UID у него фиксированные.
В связи с желанием инициативных людей понадобавлять новых GID, я и прошу или этот добавить, или его никем не занимать.

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] О нескольких группах и их уместности в пакете setup

[Anton Farygin]

On 9/24/26 13:50, Anton Midyukov wrote:
> И GID и UID у него фиксированные.
> В связи с желанием инициативных людей понадобавлять новых GID, я и прошу или этот добавить, или его никем не занимать.

никем не занимать хороший компромис

Re: [devel] О нескольких группах и их уместности в пакете setup

[Alexey V. Vissarionov]

Good ${greeting_time}!

On 2026-09-24 12:20:13 +0300, Denis Medvedev wrote:

 >>>>>> group.master несколькими группами и приколоченными их GID:
 >>>>> А можно добавить officer:x:64:, пока этот GID кому-нибудь не
 >>>>> назначили?
 >>>> А это кто и для чего? И зачем ему фиксированный UID?
 >>>> Например, у меня такого нигде нет.
 >> Так исторически сложилось.

Значит, там, где оно так сложилось, исправлять будет больно.

 > Он нужен в системах в которых есть поддержка отдельного от root
 > офицера безопасности. При этом для этого офицера в pam надо
 > указывать его numeric uid,

Головы поотрывать тем, кто это сделал. Ввиду неумения пользоваться.

PAM полностью работает в усерспейсе (ядро на него чхать хотело),
а в усерспейсе есть /etc/passwd

 > и этот офицер должен быть в списке привилегированных аккаунтов.

Кому должен и сколько? :-)

Придется поменять - UIDы и GIDы где-то до 200...300 имеют хорошие
шансы стать зарезервированными на уровне ядра. В апстриме, ага.

Ну и создавать системных пользователей лучше всего классическим
способом - в %post пакета. А до создания никаких принадлежащих
им файлов в системе появляться не должно вообще никак.

Отход от этого правила - типичное кроилово. Ведущее известно куда.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] О нескольких группах и их уместности в пакете setup

[Anton Farygin]

On 9/24/26 11:50, Anton Midyukov wrote:
> 24.09.2026 11:21, Arseny Maslennikov пишет:
>> On Thu, Sep 24, 2026 at 11:06:10AM +0300, Alexey V. Vissarionov wrote:
>>> Good ${greeting_time}!
>>>
>>> On 2026-09-24 08:27:56 +0300, Anton Midyukov wrote:
>>>
>>>   >> (Довольно давно уже) поступило предложение расширить
>>>   >> group.master несколькими группами и приколоченными их GID:
>>>   >> https://git.altlinux.org/tasks/427655
>>>   > А можно добавить officer:x:64:, пока этот GID кому-нибудь не
>>>   > назначили?
>>>
>>> А это кто и для чего? И зачем ему фиксированный UID?
>>> Например, у меня такого нигде нет.
>> +1
>>
> Так исторически сложилось.
>
плохо сложилось