Esecuzione dell'applicazione GUI come altro utente (non root)

Diciamo che ho 2 account utente user1e user2. Quando eseguo il login come user1, e poi user2utilizzo su, posso eseguire i programmi della riga di comando, ma i programmi della GUI falliscono.

Esempio:

user1@laptop:~$ su - user2
user2@laptop:~$ leafpad ~/somefile.txt
No protocol specified
leafpad: Cannot open display: 

Quindi, come posso eseguire un'applicazione GUI?

su vs. su -

Quando si diventa un altro utente, generalmente si desidera utilizzare su - user2. Il trattino forzerà l'utente2.bash_profile ottenere.

xhost

Inoltre dovrai concedere agli utenti l'accesso al tuo display. Questo è governato da X. Puoi usare il comandoxhost + per consentire ad altri utenti l'autorizzazione a visualizzare la GUI sul desktop dell'utente1.

NOTA: durante l'esecuzionexhost + ti consigliamo di eseguirlo mentre sei ancora in una shell che appartiene all'utente1.

$ DISPLAY

Quando si diventa user2, potrebbe essere necessario impostare la variabile di ambiente $DISPLAY.

$ export DISPLAY=:0.0

Devi condividere il token di autenticazione dall'utente1 (supponendo che ~sia la sede dell'utente1 ):

cat ~/.Xauthority | sudo -u user2 -i tee .Xauthority > /dev/null

È possibile utilizzare l'inoltro X11:

ssh -XY otheruser@localhost your-gui-program-name-here

Puoi avviare l'app da un altro utente. Inizierò l'app gimp da user2, mentre eseguo l'accesso (GUI) con l'utente 1:

$ xhost +
$ sudo su user2

(inserisci il pass)

$ gimp

Godere :)

Puoi provare il comando sux:

sux user2

sux gestirà le cose $ DISPLAY per te. Potrebbe essere necessario installarlo con:

sudo apt-get install sux

sotto Debian / Ubuntu.

In alternativa a sux, per eseguire in sicurezza il comando grafico ( firefox-esrnell'esempio di seguito) come $AUTHUSER( guestnell'esempio di seguito):

AUTHUSER=guest
AUTHSTRING=SI:localuser:${AUTHUSER}
xhost +${AUTHSTRING} > /dev/null
SUDO_ASKPASS=/usr/bin/ssh-askpass
export SUDO_ASKPASS
sudo -k --askpass -u ${AUTHUSER} /usr/bin/firefox-esr
xhost -${AUTHSTRING} > /dev/null
sudo -K

il codice fa:

1. consente guestall'utente di accedere all'utente corrente $DISPLAYtramitexhost +SI:localuser:guest
2. usa ssh-askpassper chiederti graficamente la password (ovviamente, potresti sudoers(5) NOPASSWD:evitarlo, se la tua politica di sicurezza ritiene che sia ok. Oppure potresti usare altri askpassprogrammi o specificarli nei file di configurazione (vedi i sudo(8)dettagli su --askpass)
3. se la password è ok (e hai i permessi in sudoers(5)) esegue il comando /usr/bin/firefox-esrcome un altro utente (guest )
4. dopo il completamento del programma, le autorizzazioni ad altri utenti ( guest) per accedere al tuo $DISPLAYvengono revocate tramitexhost -SI:localuser:guest

5. infine, sudo -Krimuove la password memorizzata nella cache, quindi la prossima chiamata di ssh-askpassti chiederà nuovamente la password (invece di utilizzare la password memorizzata nella cache)

   mentre è un po 'più di lavoro di quello gksu(8)che ha sux(8)fatto, può essere copiato ed è molto più sicuro di:

   • xhost + (qualsiasi utente avrà accesso al tuo display grafico finché sarà attivo)
   • leggibile ~ / .xauth da altri utenti (accesso indefinito di tale utente al display)
   • cosa gksu/ suxcosa (copia temporanea di ~/.Xauthority, che ha permesso all'utente specificato di copiare il tuo MIT-MAGIC-COOKIE-1e continuare a usare il tuo display anche dopo che gksu / sux ha terminato (purché non hai spento la macchina o non ti sei disconnesso dal display - screensaver, ibernazione ecc. non hanno cambiato la magia cookie).

poiché consentirà a un solo utente locale di accedere al display e solo finché il comando $AUTHUSERverrà eseguito (al termine del comando, non sarà più possibile accedere al display in alcun modo).

Un'altra alternativa sicura è ssh -X(senza la -Yquale in realtà ti rende meno sicuro! Vedi ForwardX11Trustedin ssh_config(5)per dettagli), poiché è più facile da usare se non lo stai copiando, ma induce un sovraccarico aggiuntivo (ad es. È più lento) e alcuni programmi potrebbero non funzionare correttamente senza rischi -Y .

Devi caricare l'interfaccia utente dell'installazione come utente2 .

Prova a seguire questo:

Accedi come root :

sudo su

Prova il server x:

xclock

Se riesci a vedere un orologio in esecuzione, va bene, ora prova a eseguire questo:

xhost

Il risultato dovrebbe essere così:

xhost SI:localuser:tri
# tri is my user name

Ora lascia che user2 acceda a xhost

xhost +SI:localuser:user2

ora prova ad accedere nuovamente a user2 e prova ad aprire uno qualsiasi dei programmi della GUI.