sudo가 아닌 그룹이 Upstart 작업을 제어하도록 허용

시스템 시작시 실행되도록 Upstart 작업을 설정하려고하는데 다른 그룹의 구성원이 시작 / 중지 할 수도 있습니다 sudo. 이전 버전에서는 sudoers 파일 에 추가 하여이 작업을 수행하기 위해 update-rc.d저장된 스크립트를 사용 했지만 Upstart에서도 동등한 작업을 수행 할 수 없습니다./etc/init.d/%Group ALL = NOPASSWD: /etc/init.d/scriptname

%Group ALL = NOPASSWD: /sbin/initctl start jobnamesudoers 파일에 추가하려고 시도했지만 명령을 실행하려고 start jobname하면이 오류가 발생합니다.

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

내가 알 수있는 한, 그것은 내 사용자 계정에 Upstart의 D-Bus 구성 파일에서 '시작'메시지를 보낼 권한이없는 방법에 대한 불만입니다. 그룹에서 특정 서비스에 액세스 할 수있는 권한을 부여하기 위해 파일을 편집하는 방법에 대한 정보를 실제로 찾을 수 없었습니다. 그러한 옵션이 있습니까? 구성 파일을 편집하지 않고 작업을 실행할 수 있도록 Sudoers 파일을 편집하는 방법이 있습니까? 이전 버전 만 사용하는 것이 더 좋습니까?

Upstart에 특정한 D-Bus 구성이 유지되는 위치를 찾는 것으로 시작할 수 있습니다. destination="com.ubuntu.Upstart"오류 메시지에서 해당 스 니펫을 보시겠습니까? 이제 D-Bus 구성 파일이있는 폴더에 grep하십시오.

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

이 Upstart.conf파일에는 몇 가지 정책 예가 있습니다. 나는 당신이 그들로부터 정책의 형식을 알아 내려고 시도 할 수 있다고 생각합니다. 그런 다음 특정 사용자에게 필요한 조치 만 허용하십시오. 예를 들어 다음과 같습니다.

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

이를 통해 pope_benedict사용자는 해당 작업을 시작할 수 있습니다.

'허용'정책 속성 값은 원래 오류 메시지에 나열되어 있습니다.

개인적으로 /etc/sudoers.d/jobname_myuser 파일에서 다음 줄을 사용하고 있습니다.

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

여기에 설명 된대로 : /server//a/390723/68608

이러한 옵션은 sudo에 존재하지 않습니다.

Sysv 스크립트와 Upstart 구성 파일의 차이점은 다음과 같습니다. Sysv 스크립트는 스크립트, 자체 실행 파일이며 일부 그룹이이를 실행하도록 sudo에 지시 할 수 있습니다. 반면, Upstart 구성 파일은 실행 파일이 아닌 구성 파일 일 뿐이므로 start(symlink to initctl) 의 실행은 sudo가 허용하는 것입니다. 여기서 당신의 문제는 사람들이 initctl당신을 initctl모든 것을 허용하도록 운영 한다는 것입니다.

단일 작업에만 관심이있는 경우 솔루션은 간단합니다. 스크립트를 확인, 말 /usr/bin/jobname.sh과

#!/bin/sh
initctl $1 jobname

다음 chmod 755 /usr/bin/jobname.sh마지막으로 당신의 sudoers 파일이 실행 파일을 추가합니다 :

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

이런 식으로 모든 사람 이이 특정 직업을 부르 jobname.sh start거나 jobname.sh stop통제 할 수 있습니다 . 당신은 할 수 있도록 몇 가지 검사를 추가 할 수 있습니다 start및 stop매개 변수 등

위에서 지적했듯이 dbus 데몬에는 특정 응용 프로그램에 특화된 구성 파일이 있습니다.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

구성 파일은 또한 자원 제한, 보안 매개 변수 등을 설정합니다.

자세한 내용은 dbus-daemon-1 (1)-Linux 매뉴얼 페이지를 참조하십시오.

그룹 이 Upstart 작업을 시작 / 중지 할 수있게하려면 /etc/dbus-1/system.d/Upstart.conf에 다음 정책을 추가하십시오.

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

기본 정책을 변경하기 전에 해당 정책의 보안 관련 사항을 고려해야합니다. YourGroupName의 구성원은 모든 Upstart 작업 을 시작 / 중지 할 수 있습니다 .