[sisyphus] poweroff и reboot от юзера.

[sisyphus] poweroff и reboot от юзера.

["Алексей Любимов"]

Так все таки, какие есть варианты для раздачи юзерам прав на poweroff и reboot?
Без паролей и вообще интерактива. Или у юзера есть право выключить компьютер, или нет.
Если команды используются *-session, то диалог, наверное, неуместен.

Я пока нарыл два варианта:

1) Опция -а  shutdown

Вставляем всех нужных пользователей в файл /etc/shutdown.allow
и пользуемся командами 
/sbin/shutdown -ha now
/sbin/shutdown -ra now

Неплохо, потому что используется инструмент быстрого назначения и убирания прав на данные операции. Кроме того, идет контроль присутствия пользователей на выключаемой сашине.

Плохо, потому что я так понял, выключаться питение не будет, как при /sbin/poweroff.
Еще плохо, что изменяется стандартная команда. То есть придется настраивать все программы, которые хотя выключать компьютер.

2) sudo

Добавляем в /etc/sudoers что то типа

user /sbin/poweroff=NOPASSWD: ALL
user /sbin/reboot=NOPASSWD: ALL

и пользуемся стандартными sudo /sbin/reboot и sudo /sbin/poweroff

Опять приходится менять настройки в приложениях, но хотя бы работает, как надо. Да и sudo позволяет задать права наиболее гибким образом. 



Что то непонятное есть в /etc/security/apps/reboot и poweroff

Вроде бы то, что нужно, потому что теоретически можно дать право на выключение машины командами /sbin/poweroff и /sbin/reboot. Тогда не нужно ничего менять в настройках *-session.
Достаточно поместить юзеров в нужную группу и все заработает. Но по моему, это вариант давно уже нерабочий.

Остается только понять, как рещить эту проблему и какие настройки должны быть в программах, выключающих комп. Если команды выключения комп. меняются со стандартных /sbin/poweroff и /sbin/reboot на что либо другое, значит нужно написать враппер и договорится, где он будет лежать и как называться, чтобы прописать его в доке и не морочить себе голову проблемой, как выключить компьютер напрямую из гнома. 


К примеру, в gnome-session эти настройки указываются на этапе компиляции. Пока я просто пересобрал gnome

Re: [sisyphus] poweroff и reboot от юзера.

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2230 bytes --]

On Wed, Mar 19, 2003 at 01:05:53AM +0300, "Алексей Любимов" wrote:
> Так все таки, какие есть варианты для раздачи юзерам прав на poweroff и reboot?
> Без паролей и вообще интерактива. Или у юзера есть право выключить компьютер, или нет.
> Если команды используются *-session, то диалог, наверное, неуместен.
> 
> Я пока нарыл два варианта:
> 
> 1) Опция -а  shutdown
> 
> Вставляем всех нужных пользователей в файл /etc/shutdown.allow
> и пользуемся командами 
> /sbin/shutdown -ha now
> /sbin/shutdown -ra now
> 
> Неплохо, потому что используется инструмент быстрого назначения и убирания прав на данные операции. Кроме того, идет контроль присутствия пользователей на выключаемой сашине.
> 
> Плохо, потому что я так понял, выключаться питение не будет, как при /sbin/poweroff.
> Еще плохо, что изменяется стандартная команда. То есть придется настраивать все программы, которые хотя выключать компьютер.

И как, интересно, /sbin/shutdown из-под пользователя выключит машину?
Шутите?

> 2) sudo
> 
> Добавляем в /etc/sudoers что то типа
> 
> user /sbin/poweroff=NOPASSWD: ALL
> user /sbin/reboot=NOPASSWD: ALL
> 
> и пользуемся стандартными sudo /sbin/reboot и sudo /sbin/poweroff
> 
> Опять приходится менять настройки в приложениях, но хотя бы работает, как надо. Да и sudo позволяет задать права наиболее гибким образом. 

> Что то непонятное есть в /etc/security/apps/reboot и poweroff
> 
> Вроде бы то, что нужно, потому что теоретически можно дать право на выключение машины командами /sbin/poweroff и /sbin/reboot. Тогда не нужно ничего менять в настройках *-session.
> Достаточно поместить юзеров в нужную группу и все заработает. Но по моему, это вариант давно уже нерабочий.
> 
> Остается только понять, как рещить эту проблему и какие настройки должны быть в программах, выключающих комп. Если команды выключения комп. меняются со стандартных /sbin/poweroff и /sbin/reboot на что либо другое, значит нужно написать враппер и договорится, где он будет лежать и как называться, чтобы прописать его в доке и не морочить себе голову проблемой, как выключить компьютер напрямую из гнома. 

Что это за новые чудеса? Неужели они работают?

Вообще-то есть ещё пакет SysVinit-usermode.

P.S. mailing list mismatch.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] poweroff и reboot от юзера.

["Алексей Любимов"]

> > Плохо, потому что я так понял, выключаться питение не будет, как при /sbin/poweroff.
> > Еще плохо, что изменяется стандартная команда. То есть придется настраивать все программы, которые хотя выключать компьютер.
> 
> И как, интересно, /sbin/shutdown из-под пользователя выключит машину?
> Шутите?

нет. 

 If  shutdown  is  called  with  the  -a argument (add this to the invocation of
       shutdown in /etc/inittab), it checks to  see  if  the  file  /etc/shut-
       down.allow  is  present.  It then compares the login names in that file
       with the list of people that are logged in on a virtual  console  (from
       /var/run/utmp). Only if one of those authorized users or root is logged
       in, it will proceed. Otherwise it will write the message

       shutdown: no authorized users logged in

       to the (physical) system console. The format of /etc/shutdown.allow  is
       one user name per line. Empty lines and comment lines (prefixed by a #)
       are allowed. Currently there is a limit of 32 users in this file.

       Note that if /etc/shutdown.allow is not present,  the  -a  argument  is
       ignored.


я так понимаю, на нем должен стоять suid в таком варианте.



> > Остается только понять, как рещить эту проблему и какие настройки должны быть в программах, выключающих комп. Если команды выключения комп. меняются со стандартных /sbin/poweroff и /sbin/reboot на что либо другое, значит нужно написать враппер и договорится, где он будет лежать и как называться, чтобы прописать его в доке и не морочить себе голову проблемой, как выключить компьютер напрямую из гнома. 
> 
> Что это за новые чудеса? Неужели они работают?

кто они? у меня гном2 и рокс выключают компьютер, как положено, без перехода в gdm.
Но gnome-session пришлось пеесобрать, благо это несложно.


> 
> Вообще-то есть ещё пакет SysVinit-usermode.

смотрел я на него. Какая то странная вещь. Как ее использовать я так и не понял.

> 
> P.S. mailing list mismatch.

я вообще то целился на исправление gnome-session в сизифе. 

вызывать  sudo /sbin/poweroff как то неправильно имхо.
Нужно хотя бы проверить uid (может это рут), проверить возможность вызова sudo, другие варианты, если не сработает и положить такой враппер вместо /sbin/poweroff в идеале (если ничего ломаться не будет), чтобы эта функция работала для тех, кому она разрешена. 

Re: [sisyphus] poweroff и reboot от юзера.

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2198 bytes --]

On Wed, Mar 19, 2003 at 02:06:23AM +0300, "Алексей Любимов" wrote:
> > > Плохо, потому что я так понял, выключаться питение не будет, как при /sbin/poweroff.
> > > Еще плохо, что изменяется стандартная команда. То есть придется настраивать все программы, которые хотя выключать компьютер.
> > 
> > И как, интересно, /sbin/shutdown из-под пользователя выключит машину?
> > Шутите?
> 
> нет. 
> 
>  If  shutdown  is  called  with  the  -a argument (add this to the invocation of
>        shutdown in /etc/inittab), it checks to  see  if  the  file  /etc/shut-
>        down.allow  is  present.  It then compares the login names in that file
>        with the list of people that are logged in on a virtual  console  (from
>        /var/run/utmp). Only if one of those authorized users or root is logged
>        in, it will proceed. Otherwise it will write the message
> 
>        shutdown: no authorized users logged in
> 
>        to the (physical) system console. The format of /etc/shutdown.allow  is
>        one user name per line. Empty lines and comment lines (prefixed by a #)
>        are allowed. Currently there is a limit of 32 users in this file.
> 
>        Note that if /etc/shutdown.allow is not present,  the  -a  argument  is
>        ignored.
> 
> я так понимаю, на нем должен стоять suid в таком варианте.

Ну вы же не станете так делать, верно?

> > > Остается только понять, как рещить эту проблему и какие настройки должны быть в программах, выключающих комп. Если команды выключения комп. меняются со стандартных /sbin/poweroff и /sbin/reboot на что либо другое, значит нужно написать враппер и договорится, где он будет лежать и как называться, чтобы прописать его в доке и не морочить себе голову проблемой, как выключить компьютер напрямую из гнома. 
> > 
> > Что это за новые чудеса? Неужели они работают?
> 
> кто они? у меня гном2 и рокс выключают компьютер, как положено, без перехода в gdm.
> Но gnome-session пришлось пеесобрать, благо это несложно.

Посредством какой привилегированной программы?

> > Вообще-то есть ещё пакет SysVinit-usermode.
> 
> смотрел я на него. Какая то странная вещь. Как ее использовать я так и не понял.

Ставите и используете.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] poweroff и reboot от юзера.

[Alexey V. Lubimov]

> > я так понимаю, на нем должен стоять suid в таком варианте.
> 
> Ну вы же не станете так делать, верно?

да уж не хочется.


> > > Что это за новые чудеса? Неужели они работают?
> > 
> > кто они? у меня гном2 и рокс выключают компьютер, как положено, без перехода в gdm.
> > Но gnome-session пришлось пеесобрать, благо это несложно.
> 
> Посредством какой привилегированной программы?

sudo

положил в /usr/bin скриптики poweroff и reboot с содержимым вида:

#!/bin/sh
sudo -x /sbin/poweroff


и пересобрал gnome-session c этими командами.

И все таки хотелось бы один раз написать такой враппер (с проверками) и сделать его для всех, потому что аналогичные проблемы есть во всех менеджерах и хотелось бы иметь в дистре решение этой проблемы.

> 
> > > Вообще-то есть ещё пакет SysVinit-usermode.
> > 
> > смотрел я на него. Какая то странная вещь. Как ее использовать я так и не понял.
> 
> Ставите и используете.

не получилось. но с этим ладно.

-- 
С уважением, Алексей Любимов avl@cad.ru