В ALT есть такие вот умолчания: # control|grep "^su" su wheelonly (public wheel wheelonly restricted) sudo wheelonly (public wheelonly restricted) sudoers strict (strict relaxed) sudoreplay wheelonly (public wheelonly restricted) Наличие systemd-run, запускаемого от любого пользователя, делает их бессмысленными.
$ rpmquery -lvp Sisyphus/files/x86_64/RPMS/polkit-0.115-alt4.x86_64.rpm |grep '^-r-s' -r-s--x--x 1 root root 27288 Dec 6 17:37 /usr/bin/pkexec -r-s--x--x 1 root root 18776 Dec 6 17:37 /usr/libexec/polkit-1/polkit-agent-helper-1 $ rpmquery -lvp Sisyphus/files/x86_64/RPMS/polkit-0.115-alt4.x86_64.rpm |grep -c control 0
Пока polkit был маргинальным пакетом, это никого особенно не интересовало. А теперь из-за systemd, который его использует, актуальность выросла.
Интересно, что ни в одной из виртуалок на systemd, которые у меня есть, никакого polkit нет. Скажите, пожалуйста, это правда, что polkit всё ещё нужен в системах с systemd, или polkit снова стал маргинальным пакетом, и его надо исключить из дистрибутивов?
(In reply to Sergey Y. Afonin from comment #0) > Наличие systemd-run, запускаемого от любого пользователя, делает их > бессмысленными. Каким образом? $ systemd-run id Failed to start transient service unit: Access denied
(In reply to Dmitry V. Levin from comment #3) > Интересно, что ни в одной из виртуалок на systemd, которые у меня есть, > никакого polkit нет. > Скажите, пожалуйста, это правда, что polkit всё ещё нужен в системах с > systemd, или polkit снова стал маргинальным пакетом, и его надо исключить из > дистрибутивов? Сам по себе polkit не является обязательным для работы систем с sd, но без него не будут работать разрешения для привилегированных операций непривилегированным пользователям. (In reply to Dmitry V. Levin from comment #4) > Каким образом? > > $ systemd-run id > Failed to start transient service unit: Access denied Что мы наблюдаем вот здесь.
(In reply to Sergey Y. Afonin from comment #0) > В ALT есть такие вот умолчания: > > # control|grep "^su" > su wheelonly (public wheel wheelonly restricted) > sudo wheelonly (public wheelonly restricted) > sudoers strict (strict relaxed) > sudoreplay wheelonly (public wheelonly restricted) > > Наличие systemd-run, запускаемого от любого пользователя, делает их > бессмысленными. (In reply to Dmitry V. Levin from comment #3) > Интересно, что ни в одной из виртуалок на systemd, которые у меня есть, > никакого polkit нет. > Скажите, пожалуйста, это правда, что polkit всё ещё нужен в системах с > systemd, или polkit снова стал маргинальным пакетом, и его надо исключить из > дистрибутивов? В десктопных дистрибутивах, например, без него сломаются непривилегированные кнопки "Выключить"/"Перезагрузить" в DE.
В переформулированном в комментариях 1-2 виде (suid-бинарники polkit без control-фасилити) запрос актуален и не выполнен. polkit 126-alt2 (сборка 11.05.2025): spec:103 — %attr(4511,root,root) %_bindir/pkexec, spec:106 — то же для /usr/lib/polkit-1/polkit-agent-helper-1. В контейнере Sisyphus: ls -l /usr/bin/pkexec → -r-s--x--x root root; rpm -ql polkit | grep -c control → 0; control pkexec → "No such facility"; файл /etc/control.d/facilities/pkexec не поставляет ни один пакет в репозитории. То есть "control su wheelonly" по-прежнему обходится через pkexec. Исходная посылка про systemd-run опровергнута в комментарии 4 (Access denied), это на актуальность самого запроса не влияет. Перевешиваю с aris@ на shaba@ — обе последние сборки (126-alt1, 126-alt2) его.
