Заставить polkit использовать текстовый агент аутентификации в графической сессии.

Я использую дистрибутив Secureblue Linux и мне не нравится, что когда я запускаю скрипт, который в конечном итоге вызывает run0, и оставляю его работать, делая что-то еще в ожидании, внезапно появляется всплывающее окно, в котором меня просят ввести пароль, и я не понимаю, о чем идет речь!

Мне кажется, было бы намного безопаснее иметь запрос аутентификации в виде утилиты командной строки в окне терминала, где выполняется скрипт, чтобы я мог понять, что мне требуется подтвердить.

Тем не менее, я попробовал установить tmux и запустить pkttyagent в одной панели tmux, а скрипт в другой, но диалоговое окно аутентификации GUI все равно появилось, как и раньше, и pkttyagent ничего не сделал.

Даже когда я использовал свежую, отдельную шину сессии dbus с помощью dbus-run-session tmux, все равно не сработало.

Поскольку polkit/systemd на самом деле использует системную шину сложным способом для такого рода повышений привилегий, простое замещение шины сессии недостаточно.

Введите machinectl shell $USER@

Это запустит новую XDG-сессию и создаст новый процесс оболочки в этой сессии. (TIL: переменные окружения XDG сессии тоже используются в терминальных сессиях, а не только в графических средах рабочего стола!)

После этого введите run0 или запустите свой скрипт, и вы получите текстовый запрос аутентификации от polkit в нужное время вместо графического.

Я всегда думаю о polkit как о sudo в мире GUI. Хороший справочник находится здесь:

https://www.freedesktop.org/software/polkit/docs/latest/polkit.8.html

Перехват экрана на вашем рабочем столе выполняется агентом polkit. Polkit использует Dbus для нахождения и взаимодействия с агентом, и среда рабочего стола часто предоставляет эти агенты. Может быть важно иметь агент polkit, интегрированный в вашу рабочую среду, поскольку процесс, запрашивающий аутентификацию, не всегда имеет доступный родительский терминал.

В некоторых случаях удаление агента рабочей среды может быть простым как удаление пакета, который его предоставляет. В некоторых случаях это может привести к тому, что polkit вернется к текстовому агенту, что, похоже, то, что вы ищете.

На debian это могут быть:

• Lomiri: lomiri-polkit-agent
• LXDE: lxpolkit
• MATE: mate-polkit
• KDE: polkit-kde-agent-1
• UKUI: ukui-polkit

Однако имейте в виду, что административные задачи, которые могут выполняться в вашей рабочей среде (настройки сети, управление пользователями, принтерами), могут не работать.

Вместо этого вам, вероятно, нужно исправить обычные случаи аутентификации polkit, которые возникают в вашем скрипте.

При написании скриптов, требующих повышенных привилегий, я обычно пишу короткие целевые скрипты, выполняющие только одно действие. Затем я вызываю их из не привилегированных процессов (возможно, GUI) через pkexec.

pkexec /usr/local/bin/scary

Обычно это вызывает агент polkit с общим сообщением, но мы можем настроить его так, чтобы мы понимали, что именно мы подписываем.

Мы делаем это, определяя “действия”.

Здесь дистрибутивы расходятся. Я работаю в среде, основанной на debian (polkit<=105), поэтому остальная часть этого ответа исходит отсюда. polkit >= 106 используется в некоторых других дистрибутивах и не является обратимой совместимостью.

Я бы определил /usr/share/polkit-1/actions/local.scary.policy с таким содержимым:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC "-//freedesktop//DTD polkit Policy Configuration 1.0//EN"
           "http://www.freedesktop.org/software/polkit/policyconfig-1.dtd">

<policyconfig>
  <vendor>Me</vendor>
  <vendor_url>me.example.com</vendor_url>
  <action id="local.scary.policy">
    <description>Мне нужно сделать это страшное дело</description>
    <description>Мне действительно нужна ваша аутентификация, чтобы сделать это</description>
    <annotate key="org.freedesktop.policykit.exec.path">/usr/local/bin/scary</annotate>
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>no</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
  </action>
</policyconfig>

Это означает, что всякий раз, когда я использую pkexec на /usr/local/bin/scary, он попытается аутентифицировать пользователя на активной консоли (неактивные консоли не допускаются). Кастомное сообщение будет доставлено пользователю через агент polkit, чтобы они точно знали, что авторизуют.

Конечно, если вы выполняете все это из терминала (без GUI), и хотите локальные уведомления в терминале владельца, это не так уж и отличается от:

echo "Я собираюсь сделать страшную вещь"
sudo /usr/local/bin/scary

Редактировать: Еще одна быстрая мысль…

Polkit попытается аутентифицировать пользователя через ту же “сессию”, что и скрипт, который его запускает. Если вам не нравится использование системы уведомлений рабочей среды, попробуйте использовать сессию, которая не имеет рабочей среды. Это может быть так просто, как ssh localhost или machinectl login, чтобы создать стерильную и отсоединенную сессию. Polkit перейдет в текстовый агент, потому что в этой среде не запущена рабочая среда.