Политика DBus, которая позволяет группе получить доступ к системной службе

Question

Я написал службу dbus и настроил её на прослушивание системной шины, под именем “org.jfhbrook.plusdeck” и с путём “/”. Это, похоже, работает нормально. У меня есть соответствующий клиент dbus, который я хотел бы использовать для взаимодействия с этой службой системной шины, либо если я root-пользователь (вызванный с помощью sudo), либо если я нахожусь в определённой группе (в данном случае, группа “plusdeck”).

В настоящее время у меня есть этот файл политики, основанный на документации dbus-daemon и составленный из примеров, которые я смог найти:

<?xml version="1.0" encoding="UTF-8"?> <!-- -*- XML -*- -->

<!DOCTYPE busconfig PUBLIC
          "-//freedesktop//DTD D-BUS Bus Configuration 1.0//EN"
          "http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd">

<busconfig>
  <!-- Root пользователь может владеть службой plusdeck -->
  <policy user="root">
    <allow own="org.jfhbrook.plusdeck"/>
    <allow send_destination="org.jfhbrook.plusdeck"/>
  </policy>

  <!-- Разрешить доступ для группы "plusdeck" -->
  <policy group="plusdeck">
    <allow send_destination="org.jfhbrook.plusdeck"/>
  </policy>
</busconfig>

Это работает, когда я использую sudo. Однако, когда я пользуюсь тем же клиентом со своим пользователем, который является членом группы plusdeck, я получаю ошибку:

ERROR:plusdeck.dbus.client:org.freedesktop.DBus.Error.AccessDenied: Access to org.jfhbrook.plusdeck.Eject() not permitted.

Обратите внимание, что это ошибка отличается от той, которую я получил бы, если бы не имел доступа к шине – это была бы ошибка ERROR:plusdeck.dbus.client:org.freedesktop.DBus.Error.AccessDenied: Sender is not authorized to send message. Похоже, что мне разрешено отправлять сообщения, но не вызывать этот метод.

Я пробовал все комбинации, которые только мог придумать, включая установку send_member="*" в теге разрешения, а также <allow send_type="method_call"/>. Я на пределе своих возможностей. Любая помощь или руководство были бы полезны.

К слову, я использую Fedora 41. Упоминаю это, так как знаю, что проблема может быть за пределами этой конфигурации, например, связана с SELinux. Однако, я считаю, что отсутствие записей в /var/log/audit/audit.log исключает это.

Обновление, 8 февраля 2025

Я провел дополнительное расследование и предполагаю, что проблема не в политике dbus как таковой, а в systemd и polkit.

Во-первых, если я интроспектирую свой интерфейс, я могу видеть, что методы аннотированы с “org.freedesktop.systemd1.Privileged”:

  <method name="Eject">
   <annotation name="org.freedesktop.systemd1.Privileged" value="true"/>
  </method>

Я не нашел четкой документации по этому поводу – документация systemd здесь особенно… запутанная. Но похоже, что намерение заключается в том, чтобы systemd делегировал политику polkit. Доказательство тому – похожий разочарованный пользователь на GitHub и некоторые документы для C API, которые, как кажется, были предназначены для помощи.

С этой целью у меня есть политика polkit, которая выглядит следующим образом:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN" "http://www.freedesktop.org/standards/PolicyKit/1.0/policyconfig.dtd">
<policyconfig>
  <vendor>plusdeck</vendor>
  <vendor_url>https://github.com/jfhbrook/plusdeck</vendor_url>
  <action id="org.jfhbrook.plusdeck.Eject">
    <message>Polkit no allow eject tho</message>
    <defaults>
      <allow_any>yes</allow_any>
      <allow_inactive>yes</allow_inactive>
      <allow_active>yes</allow_active>
    </defaults>
  </action>
</policyconfig>

Я также попытался написать правило на JavaScript:

polkit.addRule(function(action, subject) {
  if ((action.id == "org.jfhbrook.plusdeck.Eject" ||
     action.id == "org.jfhbrook.plusdeck.FastForwardA" ||
     action.id == "org.jfhbrook.plusdeck.Pause" ||
     action.id == "org.jfhbrook.plusdeck.PlayA" ||
     action.id == "org.jfhbrook.plusdeck.PlayB" ||
     action.id == "org.jfhbrook.plusdeck.Stop" ||
     action.id == "org.jfhbrook.plusdeck.WaitFor") &&
    subject.isInGroup("plusdeck")) {
        return polkit.Result.YES;
  }

  return polkit.Result.NOT_HANDLED;
});

Однако ни один из этих файлов, похоже, не имеет никакого эффекта, даже с учётом перезагрузок и перезапусков. Я также не вижу никаких логов, связанных с polkit – хотя я не совсем уверен, где искать.

Политика DBus, которая позволяет группе получить доступ к системной службе

Вопрос или проблема

Ответ или решение

Теория

Пример

Применение