Permitir que grupo não sudo controle o trabalho inicial

Estou tentando configurar um trabalho Upstart para ser executado na inicialização do sistema, e isso também pode ser iniciado / interrompido por membros de um grupo que não seja sudo. Com uma versão anterior, usei update-rc.de os scripts armazenados /etc/init.d/para fazer isso funcionar adicionando %Group ALL = NOPASSWD: /etc/init.d/scriptnameao meu arquivo sudoers, mas não consigo obter um equivalente trabalhando para o Upstart.

Tentei adicionar %Group ALL = NOPASSWD: /sbin/initctl start jobnameao arquivo sudoers, mas tentar executar o comando start jobnameproduz este erro:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Até onde eu sei, é uma reclamação sobre como minha conta de usuário não tem o poder de enviar mensagens 'Iniciar' no arquivo de configuração do D-Bus para o Upstart. Na verdade, não consegui encontrar nenhuma informação sobre como editar esse arquivo para dar permissão a um grupo para acessar um serviço específico - existe essa opção? Existe uma maneira de editar o arquivo Sudoers para que eu possa executar o trabalho sem editar o arquivo de configuração? Estou melhor apenas aderindo à versão anterior?

Você pode começar descobrindo onde a configuração D-Bus específica para Upstart é mantida. Veja esse destination="com.ubuntu.Upstart"trecho da mensagem de erro? Agora tente cumprimentá-lo na pasta com os arquivos de configuração do D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Esse Upstart.confarquivo tem alguns exemplos de políticas. Eu acho que você pode tentar descobrir o formato de uma política a partir deles. Em seguida, tente permitir ao seu usuário específico apenas as ações necessárias. Por exemplo, como em:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Isso deve permitir que o pope_benedictusuário inicie esse trabalho.

Observe que os valores para os atributos da diretiva 'allow' estão listados na sua mensagem de erro original.

Pessoalmente, estou usando a seguinte linha no arquivo /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

conforme descrito aqui: /server//a/390723/68608

Essa opção não existe no sudo.

A diferença entre os scripts Sysv e os arquivos de configuração do Upstart é a seguinte: Os scripts Sysv são scripts, executáveis ​​por si só e você pode dizer ao sudo para permitir que algum grupo os execute. Por outro lado, os arquivos de configuração do Upstart são meramente apenas arquivos de configuração, não executáveis; portanto, a execução de start(ligação simbólica para initctl) é o que o sudo permite. Seu problema aqui é que, ao permitir que as pessoas executem, initctlvocê permite que initctltudo funcione .

A solução é simples, se sua preocupação é apenas um trabalho. Faça um script, diga /usr/bin/jobname.shcom

#!/bin/sh
initctl $1 jobname

em seguida, chmod 755 /usr/bin/jobname.she, finalmente, acrescentar que executável para seu arquivo sudoers:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

Dessa forma, todos podem ligar jobname.sh startou jobname.sh stopcontrolar esse trabalho específico. Você pode querer adicionar um pouco de verificação para permitir que apenas starte stopparâmetros etc.

Como apontado acima, o dbus daemon possui um arquivo de configuração que o especializa para uma aplicação específica.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

O arquivo de configuração também estabelece limites de recursos, parâmetros de segurança e assim por diante.

Para detalhes, consulte dbus-daemon-1 (1) - página de manual do Linux

Para permitir que um grupo inicie / pare tarefas Upstart, adicione a seguinte política ao /etc/dbus-1/system.d/Upstart.conf

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Você deve considerar as implicações de segurança dessa política antes de alterar a política padrão. Os membros do YourGroupName poderão iniciar / parar todos os trabalhos Upstart.