На текущий момент у нас для удалённых пользователей из домена не отрабатывает доступ к DBUS'ным сервисам, даже если им назначается группа wheel. Проблема в том, что служба polkit проверяет список групп, в которые входит пользователь без учёта того, какие группы пользователю назначаются через NSS. Поэтому локальные группы, назначаемые глобальным пользователям через libnss-role, не учитываются. Необходимо доработать polkit, чтобы такая проверка для групп, назначаемых пользователю выполнялась.
Вероятное решение: http://git.altlinux.org/people/svn17/packages/?p=polkit.git;a=summary merge-request в апстрим: https://gitlab.freedesktop.org/polkit/polkit/-/merge_requests/71
Таска 263041
(In reply to Иван Савин from comment #1) > Вероятное решение: > http://git.altlinux.org/people/svn17/packages/?p=polkit.git;a=summary > > merge-request в апстрим: > https://gitlab.freedesktop.org/polkit/polkit/-/merge_requests/71 Я не претендую на роль ревьюера polkit, но в функции addition_to_user_identities_user_of_subject у вас такая глубина вложенности блоков, что в тех проектах, где я исполняю роль ревьюера, я бы предложил использовать конструкции, которые не приводят к такой глубине вложенности. Например, if (unix_groups == NULL) return; ... if (passwd == NULL) return; и т.д.
(Ответ для Dmitry V. Levin на комментарий #3) > Я не претендую на роль ревьюера polkit, но в функции > addition_to_user_identities_user_of_subject у вас такая глубина вложенности > блоков, что в тех проектах, где я исполняю роль ревьюера, я бы предложил > использовать конструкции, которые не приводят к такой глубине вложенности. > Например, > if (unix_groups == NULL) > return; > ... > if (passwd == NULL) > return; > и т.д. Исправил.
(Ответ для Иван Савин на комментарий #4) > Исправил. Это было сделано для другой ветки. Проделал эти же исправления для sisyphus.
polkit-0.118-alt2 -> sisyphus: Mon Dec 07 2020 Ivan Savin <svn17@altlinux> 0.118-alt2 - Add the ability to add user_of_subject to user_identities list if user_of_subject is a member of the group with administrator rights but it is not in /etc/groups (If a privileged group is assigned through the NSS). (closes: 39420)
