Published: Sa 26 Dezember 2020
By Thorsten Töpper
In howto .
tags: systemd polkit
Was in diesem Post als System Unit bezeichnet wird, ist eine systemd Unit deren Prozesse im system.slice laufen, was den meisten Service Units entspricht.
Unter systemd haben Benutzer standardmäßig nicht die Rechte den Status solcher Units via systemd selbst zu beeinflussen.
Es ist jedoch möglich Benutzern oder Gruppen für bestimmte Befehle dies mittels polkit zu erlauben.
systemd prüft bei der Ausführung der meisten Befehle mittels polkit, ob der den Befehl initierende Benutzer dies darf, bei Befehlen wie systemctl status oder systemctl show geschieht dies nicht.
Für die Befehle zum Start, Stop oder Neustart einer Unit kann man diese Befugnis sehr spezifisch erteilen, bei Befehlen die über eine andere Policy gehandhabt werden ist eine spezifische Einschränkung nicht möglich, zum Beispiel das De-/Aktivieren von Units.
Bei systemctl start|stop|restart wird org.freedesktop.systemd1.manage-units verwendet, für systemctl enable|disable ist es org.freedesktop.systemd1.manage-unit-files, auch wird im systemd Code letzterer beider Befehle nicht nach so vielen spezifischen Details gefragt wie bei den ersten drei.
Ein beispielhafter Anwendungsfall für solche Regeln wäre es, wenn eine Benutzergruppe auf einem Entwicklungsserver in keiner Form als root operieren darf.
Den Entwicklern soll es jedoch möglich sein, die von ihnen entwickelte Software auf den Server zu deployen und exakt in der Form auszuführen, in der die Software später in einer produktiven Landschaft operiert.
Hierzu bedürfe es also einer globalen Service Unit und einer polkit Regel, die es den Benutzern erlaubt den Service via systemctl start|stop|restart zu handhaben.
Ob dies nun menschliche Benutzer oder der Benutzer einer continuous integration Lösung ist, der die Ergebnisse des Builds deployed sei dahingestellt, auf magische Art und Weise geschieht das Deployment natürlich auch immer absolut korrekt.
Die Service Unit foobar.service
[Unit]
Description = foobar is the most creative name for anything in the whole universe.
[Service]
Type = simple
ExecStart = /opt/foobar/executable
User = foobar
Group = foobar
# Imagine lots of other useful settings here
[Install]
WantedBy = multi-user.target
Die dazugehörige polkit Regel /etc/polkit-1/10-foobar.rules
polkit . addRule ( function ( action , subject ) {
if ( action . id == "org.freedesktop.systemd1.manage-units" &&
( subject . isInGroup ( "developer" ) && action . lookup ( "unit" ) == "foobar.service" &&
( action . lookup ( "verb" ) == "start" ||
action . lookup ( "verb" ) == "stop" ||
action . lookup ( "verb" ) == "restart" ))) {
return polkit . Result . YES ;
}
});
Der für granularere Restriktion ist neben der Gruppen auch der Benutzername als subject.user verfügbar.