Как остановить запросы аутентификации от radxa и rock пользователей, когда вы вошли в систему как другой пользователь на Debian 12

Я использую Rock Pi S с Debian 12 и создал нового пользователя с именем guest. В то время как я нахожусь в системе под гостем, при выполнении команд, таких как systemctl stop <service_name>, меня просят аутентифицироваться как другие пользователи, конкретно radxa и rock. Эти пользователи были заранее настроены в системе, но я больше не хочу, чтобы происходила аутентификация с использованием этих учетных записей, когда я работаю как guest.

Я проверил, что пользователь guest не является членом каких-либо общих групп с radxa или rock. Нет явных ссылок на radxa или rock в /etc/sudoers и /etc/sudoers.d. Нет файлов в /etc/pam.d/, указывающих на radxa или rock. И я не хочу удалять пользователя radxa или rock.

Вопросы:

Почему система запрашивает аутентификацию с использованием radxa и rock, когда я вхожу в систему как пользователь guest?

Как я могу полностью остановить эти запросы на аутентификацию между пользователями и гарантировать, что пользователь guest работает самостоятельно?

Эти команды запрашивают админскую аутентификацию (т.е. polkit интерактивную авторизацию, где администратор одобряет действие). Если пользователь guest не администратор, то всегда будет запрашиваться “перекрестная аутентификация”, когда программа использует polkit для проверки авторизации этих действий.

С policykit администраторские пользователи обычно определяются через членство в группе wheel, хотя каждая дистрибуция и каждая система могут настраивать это по-своему, например, используя группу sudo или что-то еще — используйте grep по /etc/polkit-1 и /usr/share/polkit-1 для поиска “addAdminRule”.

/* /usr/share/polkit-1/rules.d/50-default.rules */
polkit.addAdminRule(function(action, subject) {
    return ["unix-group:wheel"];
});

Правила, позволяющие неадминам выполнять определенные действия (или блокирующие некоторые действия без возможности админутверждения), могут быть написаны в таком же формате. Смотрите man 8 polkit. Хотя, если вы хотите, чтобы пользователь guest мог управлять системными сервисами… возможно, стоит пересмотреть это. Или просто прямо сказать им пароль root.

/* /etc/polkit-1/rules.d/90-block-guest.rules */
polkit.addRule(function(action, subject) {
    if (subject.user == "guest") {
        return polkit.Result.NO;
    }
});

Результат по умолчанию фактически определяется в XML-файлах “action”, поставляемых с пакетами, но он обычно AUTH_ADMIN(_KEEP) для большинства вещей, и именно это вызывает запрос на “админскую аутентификацию”.