Starterkits и его защитные механизмы.

[Speccyfighter]

файл /usr/share/polkit-1/actions/org.freedesktop.udisks2.police
Необходимо в файле /usr/share/polkit-1/actions/org.freedesktop.udisks2 в секции filesystem-mount-system заменить строчку <allow_active>auth_admin_keep</allow_active> на <allow_active>yes</allow_active>

Так нельзя делать.
При первом же dist-upgrade и точно после reinstall оно "сломается":

Код: [Выделить]

rpm -qf /usr/share/polkit-1/actions/org.freedesktop.udisks2.policy
udisks2-2.1.1-alt1


[Антон Мидюков]

Я тут обнаружил, что в Симпли есть такое правило у polkit:

Код: [Выделить]

# cat 70-SL-NM-allow-modify-system.rules
polkit.addRule(function(action, subject) {
if (action.id == "org.freedesktop.NetworkManager.settings.modify.system" &&
subject.isInGroup("wheel")) {
return polkit.Result.YES;
};

# rpm -qf 70-SL-NM-allow-modify-system.rules
branding-simply-linux-system-settings-7.0.5-alt1.M70P.3


По хорошему его должно быть достаточно, чтоб NetworkManager не требовал пароль при создании нового сетевого соединения, для пользователя в группе wheel т.е. с системного пользователя, который создаётся при установке.

[Speccyfighter]

Я тут обнаружил, что в Симпли есть такое правило у polkit:

Код: [Выделить]

# cat 70-SL-NM-allow-modify-system.rules
polkit.addRule(function(action, subject) {
if (action.id == "org.freedesktop.NetworkManager.settings.modify.system" &&
subject.isInGroup("wheel")) {
return polkit.Result.YES;
};

# rpm -qf 70-SL-NM-allow-modify-system.rules
branding-simply-linux-system-settings-7.0.5-alt1.M70P.3


По хорошему его должно быть достаточно, чтоб NetworkManager не требовал пароль при создании нового сетевого соединения, для пользователя в группе wheel т.е. с системного пользователя, который создаётся при установке.

Это хреновая идея, поскольку требует повышения привилегий у другого пользователя в многопользовательской системе. Например если он использует свой персональный wifi-свисток. Ну или например если он коннектится через один из роутеров в одноранговой сети, владелец или администратор которого предоставил доступ.
Такая политика требует:
В многопользовательской системе, каждый пользователь зарегистрированный в системе и создающий свои настройки в NM, обязан состоять в группе wheel.
Нет, в багзиллу не напишу, потому что это не ошибка, это очевидный ляп.

Мой вариант и от gvy, таких повышений привилегий не требуют.
Проверено на тестовой системе установленной временно на usb-hdd для реального контроля на непривилегированном пользователе (то бишь на altlinux-p7-xfce-i586):

Код: [Выделить]

# id tester
uid=501(tester) gid=501(tester) группы=501(tester),498(xgrp)


Код: [Выделить]

# cat /etc/polkit-1/rules.d/55-nm.rules
polkit.addRule(function(action, subject) {
if (action.id.indexOf("org.freedesktop.NetworkManager.") == 0 && subject.isInGroup("xgrp")) {
return polkit.Result.YES;
}
});


Код: [Выделить]

# cat /etc/altlinux-release
ALT Linux starter kit (Trientalis)


Код: [Выделить]

# rpm -qf /sbin/init
systemd-sysvinit-201-alt1.M70P.4


[Антон Мидюков]

Это хреновая идея, поскольку требует повышения привилегий у другого пользователя в многопользовательской системе. Например если он использует свой персональный wifi-свисток. Ну или например если он коннектится через один из роутеров в одноранговой сети, владелец или администратор которого предоставил доступ.

Это всё понятно. Просто предполагается, что симпли ставят домашние пользователи, которым этого варианта достаточно. А вот мне другое непонятно. Вот лет так пять назад сетевое соединение в NetworkManager создавалось, по-умолчанию, только для пользователя который его создаёт, при этом пароль не спрашивался. В настройках можно было сделать соединение общесистемным и тогда запрашивался пароль пользователя. Сейчас же, по-умолчанию, создаётся общесистемное соединение и соответственно требуется ввести пароль. Как по мне, так поведение, которое было раньше было правильным. В многопользовательской системе, логично предположить, что пользователи захотят иметь свои собственные соединения, а значит правильнее предлагать им создать своё собственное соединение и  лишь в качестве опции предлагать сделать соединение общесистемным. Кстати, через nm-connection-editor можно и сейчас создавать такие соединения без ввода пароля. Вопрос только в том, можно ли изменить умолчальное поведение?

[Speccyfighter]

Это хреновая идея, поскольку требует повышения привилегий у другого пользователя в многопользовательской системе. Например если он использует свой персональный wifi-свисток. Ну или например если он коннектится через один из роутеров в одноранговой сети, владелец или администратор которого предоставил доступ.

Это всё понятно. Просто предполагается, что симпли ставят домашние пользователи, которым этого варианта достаточно.

У меня здесь диаметрально противоположное мнение:
в хате где два сисадмина, остальным строго до лампочки знают они операционку или нет.
Но не всем так везёт.
Поэтому допускать такие промахи, на массовых компьютерах, по моему скромному, опасная затея.

А вот мне другое непонятно. Вот лет так пять назад сетевое соединение в NetworkManager создавалось, по-умолчанию, только для пользователя который его создаёт, при этом пароль не спрашивался. В настройках можно было сделать соединение общесистемным и тогда запрашивался пароль пользователя.

Здесь не в курсе:
nm восьмилетней давности запомнился только тем, что убунтоводы провайдера, массово и с треском выносили NM из системы и писали свой конфиг - надо было увязывать в одном конфиге гостевое и внешку.

[ruslandh]

. Кстати, через nm-connection-editor можно и сейчас создавать такие соединения без ввода пароля. Вопрос только в том, можно ли изменить умолчальное поведение?

Помню-помню, там ещё пароль на какой-то кошелёк создавался, все не глядя вводили для него пароль, то-ли root, то-ли пользователя, не очень понимая, что они делают, а потом не понимали что за пароль у них требуют для редактирования соединения, а требовался пароль этого кошелька.

[Антон Мидюков]

Помню-помню, там ещё пароль на какой-то кошелёк создавался, все не глядя вводили для него пароль, то-ли root, то-ли пользователя, не очень понимая, что они делают, а потом не понимали что за пароль у них требуют для редактирования соединения, а требовался пароль этого кошелька.

Ни разу на эти грабли не наступал. Теперь понятно почему так сделали

Поэтому допускать такие промахи, на массовых компьютерах, по моему скромному, опасная затея.

В чём промах-то? Системный пользователь-то всего один. И не фиг добавлять всех пользователей в группу wheel. Или вы насчёт соблазна использовать готовое системное правило, которое я обнаружил, путём добавления пользователей в wheel?