Consenti al gruppo non sudo di controllare il processo di avvio

Sto cercando di impostare un processo Upstart da eseguire all'avvio del sistema e che può anche essere avviato / arrestato da membri di un gruppo diverso da sudo. Con una versione precedente, ho usato update-rc.de gli script archiviati /etc/init.d/per farlo funzionare aggiungendo %Group ALL = NOPASSWD: /etc/init.d/scriptnameal mio file sudoers, ma non riesco a ottenere un equivalente funzionante per Upstart.

Ho provato ad aggiungere %Group ALL = NOPASSWD: /sbin/initctl start jobnameal file sudoers, ma provare a eseguire il comando start jobnameproduce questo errore:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Per quanto posso dire, è una lamentela su come il mio account utente non ha il potere di inviare messaggi "Start" nel file di configurazione D-Bus per Upstart. Non sono stato effettivamente in grado di trovare alcuna informazione su come modificare quel file per autorizzare un gruppo ad accedere a un servizio specifico - esiste una tale opzione? C'è un modo per modificare il file Sudoers in modo che io possa eseguire il lavoro senza modificare il file di configurazione? Sto meglio solo con la versione precedente?

Puoi iniziare scoprendo dove è conservata la configurazione D-Bus specifica per Upstart. Vedi quello destination="com.ubuntu.Upstart"snippet dal messaggio di errore? Ora prova a grep nella cartella con i file di configurazione D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Quel Upstart.conffile contiene alcuni esempi di criteri. Immagino che potresti provare a capire il formato di una politica da loro. Quindi prova a consentire al tuo utente specifico solo le azioni di cui ha bisogno. Ad esempio, come in:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Ciò dovrebbe consentire pope_benedictall'utente di iniziare quel lavoro.

Si noti che i valori per gli attributi di criterio "consenti" sono elencati nel messaggio di errore originale.

Personalmente sto usando la seguente riga nel file /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

come descritto qui: /server//a/390723/68608

Tale opzione non esiste in sudo.

La differenza tra script Sysv e file di configurazione di Upstart è proprio questo: gli script Sysv sono script, eseguibili a sé stanti e puoi dire a sudo di consentire ad alcuni gruppi di eseguirli. D'altra parte, i file di configurazione di Upstart sono semplicemente file di configurazione, non eseguibili, quindi l'esecuzione di start(link simbolico a initctl) è ciò che sudo consente. Il tuo problema qui è che consentire alle persone di eseguirti initctlti consente di initctltutto.

La soluzione è semplice se la tua preoccupazione è solo un singolo lavoro. Crea una sceneggiatura, dì /usr/bin/jobname.shcon

#!/bin/sh
initctl $1 jobname

quindi chmod 755 /usr/bin/jobname.she infine aggiungi l'eseguibile al tuo file sudoers:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

In questo modo, tutti possono chiamare jobname.sh starto jobname.sh stopcontrollare questo specifico lavoro. Potresti voler aggiungere alcuni controlli per consentire solo starte stopparametri ecc.

Come indicato sopra, il demone dbus ha un file di configurazione specializzato per una particolare applicazione.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

Il file di configurazione stabilisce inoltre limiti di risorse, parametri di sicurezza e così via.

Per i dettagli vedere dbus-daemon-1 (1) - Pagina man di Linux

Per consentire a un gruppo di avviare / arrestare i lavori Upstart aggiungere la seguente politica a /etc/dbus-1/system.d/Upstart.conf

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

È necessario considerare le implicazioni di sicurezza di tale politica prima di modificare la politica predefinita. I membri di YourGroupName saranno in grado di avviare / interrompere tutti i lavori Upstart.