Ermöglichen Sie Nicht-Sudo-Gruppen, den Upstart-Job zu steuern

Ich versuche, einen Upstart-Job einzurichten, der beim Systemstart ausgeführt wird. Dieser Job kann auch von Mitgliedern einer anderen Gruppe als gestartet / gestoppt werden sudo. In einer früheren Version habe ich update-rc.dSkripte verwendet und darin gespeichert /etc/init.d/, um dies durch Hinzufügen %Group ALL = NOPASSWD: /etc/init.d/scriptnamezu meiner sudoers-Datei zum Laufen zu bringen, aber ich kann anscheinend kein Äquivalent für Upstart finden.

Ich habe versucht %Group ALL = NOPASSWD: /sbin/initctl start jobname, der sudoers-Datei etwas hinzuzufügen, aber der Versuch, den Befehl auszuführen, start jobnameführt zu folgendem Fehler:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Soweit ich das beurteilen kann, handelt es sich um eine Beschwerde darüber, dass mein Benutzerkonto nicht in der Lage ist, Startnachrichten in der D-Bus-Konfigurationsdatei für Upstart zu senden. Ich konnte keine Informationen zum Bearbeiten dieser Datei finden, um einer Gruppe die Berechtigung zum Zugriff auf einen bestimmten Dienst zu erteilen. Gibt es eine solche Option? Gibt es eine Möglichkeit, die Sudoers-Datei zu bearbeiten, damit ich den Job ausführen kann, ohne die Konfigurationsdatei zu bearbeiten? Bleib ich besser bei der vorherigen Version?

Sie können zunächst herausfinden, wo die für Upstart spezifische D-Bus-Konfiguration aufbewahrt wird. Sehen Sie diesen destination="com.ubuntu.Upstart"Ausschnitt aus der Fehlermeldung? Versuchen Sie nun, es im Ordner mit den D-Bus-Konfigurationsdateien zu durchsuchen:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Diese Upstart.confDatei enthält einige Beispiele für Richtlinien. Ich denke, Sie könnten versuchen, das Format einer Richtlinie aus ihnen herauszufinden. Versuchen Sie dann, Ihrem bestimmten Benutzer nur die Aktionen zuzulassen, die er benötigt. Zum Beispiel wie in:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Dies sollte es dem pope_benedictBenutzer ermöglichen, diesen Job zu starten.

Beachten Sie, dass die Werte für die Richtlinienattribute "Zulassen" in Ihrer ursprünglichen Fehlermeldung aufgeführt sind.

Ich persönlich verwende die folgende Zeile in der Datei /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

wie hier beschrieben: /server//a/390723/68608

Eine solche Option gibt es in sudo nicht.

Der Unterschied zwischen Sysv-Skripten und Upstart-Konfigurationsdateien besteht darin, dass: Sysv-Skripte Skripte sind, eigenständige ausführbare Dateien, und Sie können sudo anweisen, dass eine Gruppe sie ausführen darf. Auf der anderen Seite sind Upstart-Konfigurationsdateien lediglich Konfigurationsdateien, keine ausführbaren Dateien. Die Ausführung von start(Symlink zu initctl) ist also das, was sudo zulässt. Ihr Problem hierbei ist, dass Sie es den Leuten initctlerlauben, initctlalles zuzulassen, damit Sie alles zulassen .

Die Lösung ist jedoch einfach, wenn Sie sich nur um einen einzigen Job kümmern. Machen Sie ein Skript, sagen wir /usr/bin/jobname.shmit

#!/bin/sh
initctl $1 jobname

chmod 755 /usr/bin/jobname.shFügen Sie dann und schließlich diese ausführbare Datei zu Ihrer Sudoers-Datei hinzu:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

Auf diese Weise kann jeder diesen bestimmten Job anrufen jobname.sh startoder jobname.sh stopsteuern. Vielleicht möchten Sie einige Kontrollen hinzufügen nur zu erlauben , startund stopParameter usw.

Wie oben erwähnt, verfügt der dbus-Daemon über eine Konfigurationsdatei, die ihn auf eine bestimmte Anwendung spezialisiert hat.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

Die Konfigurationsdatei legt auch Ressourcenlimits, Sicherheitsparameter usw. fest.

Weitere Informationen finden Sie in der Manpage dbus-daemon-1 (1) - Linux

Fügen Sie /etc/dbus-1/system.d/Upstart.conf die folgenden Richtlinien hinzu, damit eine Gruppe Upstart-Jobs starten / stoppen kann

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Sie sollten die Auswirkungen dieser Richtlinie auf die Sicherheit berücksichtigen, bevor Sie die Standardrichtlinie ändern. Mitglieder des YourGroupName können alle Upstart-Jobs starten / stoppen .