Bug 48445

Summary:	Do not set nobody as AuthorizedKeysCommandUser=
Product:	Sisyphus	Reporter:	Arseny Maslennikov <arseny>
Component:	freeipa	Assignee:	Stanislav Levin <slev>
Status:	NEW ---	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	aen, sem, sin, slev
Version:	unstable
Hardware:	x86_64
OS:	Linux
URL:	https://git.altlinux.org/gears/f/freeipa.git?p=freeipa.git;a=blob;f=.gear/freeipa.spec;h=5386bab1d6667bafee899d94c9f4fcb3194e2e06;hb=94435f1bc88c5da978cf12b3ba556b109c9fbef7#l772
See Also:	https://bugzilla.altlinux.org/show_bug.cgi?id=46776

Description

Arseny Maslennikov 2023-11-14 14:53:40 MSK

Вообще говоря, под пользователем nobody в системе не должно работать ничего, а в ФС на устройствах хранения не должно храниться файловых объектов с этими uid и gid.

Сейчас на этапе %triggerin пакет freeipa патчит /etc/openssh/sshd_config, указывая uid nobody для работы /usr/bin/sss_ssh_authorized_keys. Прошу рассмотреть возможность от этого уйти и запускать ту команду под отдельным уидом (не так важно, статическим или динамическим).

Не обижайтесь, пожалуйста, если бага на самом деле должна чиниться в другом пакете; упоминание nobody я нашёл в спеке этого пакета.

Comment 1

Anton Farygin 2026-09-06 12:57:58 MSK

Проверка актуальности: в freeipa 4.13.3 %triggerin спека (и ipaclient/install/client.py) по-прежнему прописывают AuthorizedKeysCommandUser nobody. Запрос актуален.