Сервис, который вполняет нужную команду по требованию

Shatur	# 3 года, 6 месяцев назад
Темы: 28 Сообщения: 323 Участник с: 26 марта 2017	Подскажите, пожалуйста, можно ли написать такой сервис \ демон, который выполняет определенную команду от рута (например pacman -Sy, ну как пример). Но чтобы этот сервис можно было пнуть от обычного пользователя без запроса пароля? Возможно ли вообще такое?

# 3 года, 6 месяцев назад

Сообщения: 323

Участник с: 26 марта 2017

Подскажите, пожалуйста, можно ли написать такой сервис \ демон, который выполняет определенную команду от рута (например pacman -Sy, ну как пример). Но чтобы этот сервис можно было пнуть от обычного пользователя без запроса пароля? Возможно ли вообще такое?

indeviral	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 38 Сообщения: 3165 Участник с: 10 августа 2013	начните с suid может sudo... systemd может только обрезать привилегии своих сервисов. Ошибки в тексте-неповторимый стиль автора©

Andy_Vetrov	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 2 Сообщения: 27 Участник с: 09 февраля 2019	Скрипт - можно: https://wiki.archlinux.org/index.php/Sudo#Sudoers_default_file_permissions Запустить скрипт при помощи systemd: https://askubuntu.com/questions/919054/how-do-i-run-a-single-command-at-startup-using-systemd Чтобы оба условия (именно демон и именно из-под sudoers) - не знаю, не пробовал, по отдельности - работает.

Andy_Vetrov

# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)

Темы: 2

Сообщения: 27

Участник с: 09 февраля 2019

Скрипт - можно:
https://wiki.archlinux.org/index.php/Sudo#Sudoers_default_file_permissions

Запустить скрипт при помощи systemd:
https://askubuntu.com/questions/919054/how-do-i-run-a-single-command-at-startup-using-systemd

Чтобы оба условия (именно демон и именно из-под sudoers) - не знаю, не пробовал, по отдельности - работает.

grayich	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 216 Сообщения: 1984 Участник с: 08 января 2009	Shatur, можно внести программу в /etc/sudoers например так shatur ALL = NOPASSWD: /usr/bin/pacman где shatur - имя юзверя в системе ещё можно suid бит программе дать, после чего она получает доступ к рут привилегиям, например chmod +s /usr/bin/smartctl но это резко понижает безопасность, нужно понимать, где можно так делать, а где нет насчёт сервиса, ну так сделать простую обёртку которая работает от рута, принимает на вход команды и выполняет их уже от имени себя(а значит рута)

grayich

# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)

Темы: 216

Сообщения: 1984

Участник с: 08 января 2009

Shatur, можно внести программу в /etc/sudoers
например так shatur ALL = NOPASSWD: /usr/bin/pacman где shatur - имя юзверя в системе

ещё можно suid бит программе дать, после чего она получает доступ к рут привилегиям, например chmod +s /usr/bin/smartctl

но это резко понижает безопасность, нужно понимать, где можно так делать, а где нет

насчёт сервиса, ну так сделать простую обёртку которая работает от рута, принимает на вход команды и выполняет их уже от имени себя(а значит рута)

Shatur	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 28 Сообщения: 323 Участник с: 26 марта 2017	grayich, indeviral, но разве задание suid потом при исполнении файла требует запускать его от рута? Т.е. потом все равно придется использовать sudo :( Если задать в /etc/sudoers программу это то это поможет. И сервис тогда не нужен будет. Но будет не очень безопасно, думаю... А вот создание сервиса, который работает от рута и которого можно попросить выполнить команду (даже не любую, а одну определенную) выглядит как то, что мне нужно... (что-то подобное предложил Andy_Vetrov). ~~Но как оформить такой сервис, чтобы его мог пнуть пользователь без ввода пароля.~~ Разобрался. Создал сервис, который работает от рута, как вы и предложили (просто выполняет одну команду), а дальше дал через polkit запускать его обычным юзерам. Всем спасибо :)

Shatur

# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)

Темы: 28

Сообщения: 323

Участник с: 26 марта 2017

grayich, indeviral, но разве задание suid потом при исполнении файла требует запускать его от рута? Т.е. потом все равно придется использовать sudo :(

Если задать в /etc/sudoers программу это то это поможет. И сервис тогда не нужен будет. Но будет не очень безопасно, думаю...

А вот создание сервиса, который работает от рута и которого можно попросить выполнить команду (даже не любую, а одну определенную) выглядит как то, что мне нужно... (что-то подобное предложил Andy_Vetrov). ~~Но как оформить такой сервис, чтобы его мог пнуть пользователь без ввода пароля.~~ Разобрался. Создал сервис, который работает от рута, как вы и предложили (просто выполняет одну команду), а дальше дал через polkit запускать его обычным юзерам. Всем спасибо :)

nafanja	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 94 Сообщения: 9252 Участник с: 02 июня 2012 заблокирован	Shatur, ничего личного, но ты извращенец...(в техническом смысле, если что) Псевдографический инсталлятор Arch Linux ver. 3.8.2 Благодарности принимаются на ЯД 410012815723874

Shatur	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 28 Сообщения: 323 Участник с: 26 марта 2017	nafanja Shatur, ничего личного, но ты извращенец… не нашел более простого способа ) Pamac и Octopi делают точно так же.

grayich	# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)
Темы: 216 Сообщения: 1984 Участник с: 08 января 2009	Shatur grayich, indeviral, но разве задание suid потом при исполнении файла требует запускать его от рута? Т.е. потом все равно придется использовать sudo :( +s не требует запускать от root, можно запускать простым пользователем без судо внесение записи в sudoerc требует запускать через sudo но пароль просить не будет

grayich

# 3 года, 6 месяцев назад (отредактировано 3 года, 6 месяцев назад)

Темы: 216

Сообщения: 1984

Участник с: 08 января 2009

Shatur
grayich, indeviral, но разве задание suid потом при исполнении файла требует запускать его от рута? Т.е. потом все равно придется использовать sudo :(

+s не требует запускать от root, можно запускать простым пользователем без судо

внесение записи в sudoerc требует запускать через sudo но пароль просить не будет

s-ugra@ya.ru	# 3 года, 6 месяцев назад
Темы: 11 Сообщения: 763 Участник с: 15 ноября 2016	Shatur Подскажите, пожалуйста, можно ли написать такой сервис \ демон, который выполняет определенную команду от рута (например pacman -Sy, ну как пример). Но чтобы этот сервис можно было пнуть от обычного пользователя без запроса пароля? Возможно ли вообще такое? Может вот такой вариант поможет?

s-ugra@ya.ru

# 3 года, 6 месяцев назад

Темы: 11

Сообщения: 763

Участник с: 15 ноября 2016

Shatur
Подскажите, пожалуйста, можно ли написать такой сервис \ демон, который выполняет определенную команду от рута (например pacman -Sy, ну как пример). Но чтобы этот сервис можно было пнуть от обычного пользователя без запроса пароля? Возможно ли вообще такое?

Может вот такой вариант поможет?

Shatur	# 3 года, 6 месяцев назад
Темы: 28 Сообщения: 323 Участник с: 26 марта 2017	grayich +s не требует запускать от root, можно запускать простым пользователем без судо Хм, я пробовал создать скрипт с таким телом: `#!/bin/bash pacman -Sy` Потом дал ему права: `sudo chmod +xs ~/test.sh` Пробую запустить: `./test.sh ошибка: для выполнения этой операции требуются права root.` А вот если запустить этот же файл с sudo, то пароль не просит и скрипт запускается. Может надо еще какие-то права выдать, чтобы запускалось без sudo? s-ugra@ya.ru Может вот такой вариант поможет? Интересный вариант :)

Shatur

# 3 года, 6 месяцев назад

Темы: 28

Сообщения: 323

Участник с: 26 марта 2017

grayich
+s не требует запускать от root, можно запускать простым пользователем без судо

Хм, я пробовал создать скрипт с таким телом:

#!/bin/bash
pacman -Sy

Потом дал ему права:

sudo chmod +xs ~/test.sh

Пробую запустить:

./test.sh
ошибка: для выполнения этой операции требуются права root.

А вот если запустить этот же файл с sudo, то пароль не просит и скрипт запускается. Может надо еще какие-то права выдать, чтобы запускалось без sudo?

s-ugra@ya.ru
Может вот такой вариант поможет?

Интересный вариант :)