Gnome 42 и повышение прав

[kobaltd]

Для некоторых операций в Linux нужно "повышение прав". За это отвечают 2 тулзы. su - нужен пароль root, sudo - нужен что бы было текущий пользователь (или группа в которой он состоит) бала разрешена в sudoers.

В системе настроена авторизация по MS AD. все нормально. группа "domain admins" добавлена в sudoers. В консоли все замечательно работает. А вот в gnome для запуска с "повышенными привилегиями" требуется вводить пароль root, т.е. используется "типа su", а не sudo.
Собственно вопрос - как заставить gnome по дефолту юзать "sudo"?

[F12]

А вот в gnome для запуска с "повышенными привилегиями" требуется вводить пароль root, т.е. используется "типа su", а не sudo.

- для запуска с "повышенными привилегиями" приложений с GUI используют pkexec, я верно понимаю, у тебя pkexec работает только с паролем root?

... но в Ubuntu использование пароля root по умолчанию "отключено"(попросту он не задан), а для того чтоб выполнить команду с привилегиями root, используют sudo
      ... как вариант, возможная причина "нестандартного поведения" Gnome как раз из-за того, что у root "появился" пароль 

[kobaltd]

Да используется kpexec, который как я понял реализует режим "SU", а не "SUDO". Собственно как перевести/заменить на поведение "sudo"?

З.Ы. удаление пароля у root приводит к тому что вообще пароль вводить не нужно - просто есть кнопака "подтвердить" и все.
З.Ы. отключение уз root приводит к запросу пароля от отключенной учетки - т.е. вообще перестает работать "повышение привелегий".

[F12]

Да используется kpexec, который как я понял реализует режим "SU", а не "SUDO". Собственно как перевести/заменить на поведение "sudo"?

- а что, в мануале недостаточно понятно описано?..

(Нажмите, чтобы показать/скрыть)

NAME
       pkexec - Execute a command as another user

SYNOPSIS
       pkexec [--version] [--disable-internal-agent] [--help]

       pkexec [--user username] PROGRAM [ARGUMENTS...]

DESCRIPTION
       pkexec allows an authorized user to execute PROGRAM as another user. If
       username is not specified, then the program will be executed as the
       administrative super user, root.

<skip>

REQUIRED AUTHORIZATIONS
       By default, the org.freedesktop.policykit.exec authorization is
       required unless an action definition file is present for the program in
       question. To require another authorization, it can be specified using
       the org.freedesktop.policykit.exec.path annotation on an action (See
       the section called “EXAMPLE” for details).

<skip>

polkit                             May 2009                          PKEXEC(1)
 Manual page pkexec(1) line 183/205 (END) (press h for help or q to quit)

З.Ы. удаление пароля у root приводит к тому что вообще пароль вводить не нужно - просто есть кнопака "подтвердить" и все.
З.Ы. отключение уз root приводит к запросу пароля от отключенной учетки - т.е. вообще перестает работать "повышение привелегий".

- о каком дистрибутиве речь?
- конкретно как группа "domain admins" добавлялась в sudoers?

[kobaltd]

Предвосхищая "пустые" ответы и вопросы.
Система настраивается как замена офтопика для организации. По понятным причинам офтопик никуда не исчезнет еще много лет. Поэтому настраивается для работы в гетерогенной архитектуре. Есть офтопик AD поэтому настраивается работа с ним для нормального функционирования и офтопиков и linux (может быть потом и при необходимости, после значительного "превышения" linux над офтопиком будет раcсмотрен вариант freeipa + доверительные отношения).
И есть МНОГО установок (которые не повод для обсуждения - а просто факт, как "законы природы"):
1) Пароль root на всех машинах должен быть разный, или вообще отключена уз root (требование СБ)
2) Пользователь может быть в некоторых случаях "админом" на выделенном ему компе
3) Некоторые пользователи должны иметь возможность выполнять некоторые/все операции с повышением на любых компах
4) компов и админов очень много
там еще много чего, но это основные тезисы по данному вопросу.


Как следствие из всего этого - нужно изменить "поведение по умолчанию" для pkexec или задать в место него другую тулзу. Варианты "запускать через консоль", что то менять в настройках конкретной программы на конкретном компе, помнить пароли от всех машин и т.д. это все не вариант.

Нужно "типовое" решение вопроса - функционирование pkexec (или его аналога) по средством настроек из sudoers, а не знанием пароля от root в GUI, т.д. админ может будет "шуршать" через консоль, то вот с юзверями это уже беда. Опять таки не надо тут про то что их надо учить, а если не знают/не умеют не допускать к компам - мы решаем вопросы функционирования бизнеса и предприятия, а не "домашним администрированием" - подходы совсем другие.

[F12]

kobaltd, а решение предлагаемое в разделе мануала REQUIRED AUTHORIZATIONS не годится?..

[kobaltd]

kobaltd, а решение предлагаемое в разделе мануала REQUIRED AUTHORIZATIONS не годится?..

1) насколько я понял это НЕ переключает режим авторизации, а просто поволяет задать пользователя, отличного от root.
2) опять же насколько я понял - данное изменение нужно проводить для каждого конкреного ПО. Более 6000 изверей, более 11000 рабочих станций (стационарки, ноуты и т.д.) - 72 админа. Они только и будут что сутками править эти конфиги причем только их и то не будут успевать.

[F12]

это НЕ переключает режим авторизации, а просто поволяет задать пользователя, отличного от root.

- ну извини, видимо я самого начала не верно понял что тебе нужно

[ALiEN]

Нужно "типовое" решение вопроса - функционирование pkexec (или его аналога) по средством настроек из sudoers

pkexec это инструмент polkit. К sudo и sudoers отношения не имеет.

[F12]

Более 6000 изверей, более 11000 рабочих станций (стационарки, ноуты и т.д.) - 72 админа.

- с таким серьёзным парком, и без технической поддержки от разработчика, наверное не кисло вам та приходится