Как настроить pkexec, чтобы он не запрашивал пароль?

У меня есть приложение с графическим интерфейсом, который должен вызвать демон (написанный на Python) с привилегиями суперпользователя. Я хотел бы сделать это, не запрашивая у пользователя пароль.

Поскольку демон является скриптом, я не могу установить бит SUID напрямую. Я мог бы написать обертку C для этого, но я бы предпочел не изобретать велосипед, особенно когда ошибка с моей стороны может привести к серьезной угрозе безопасности системы.

В этой ситуации я обычно добавляю строку, /etc/sudoersкоторая позволяет пользователям запускать демон от имени пользователя root без пароля, используя директиву NOPASSWD. Это отлично работает из командной строки. Однако, когда я делаю это из GUI, появляется pkexecдиалоговое окно с запросом пароля пользователя. Похоже, что в Ubuntu вызовы sudoиз GUI как-то перехватываются pkexec.

Есть ли чистый способ обойти это? Я действительно предпочел бы не иметь дело с трудностями сценария setuid.

Неправильно говорить следующее: «Похоже, что в Ubuntu вызовы sudoиз GUI каким-то образом перехватываются pkexec» . pkexecне имеет много общего с sudo. В отличие от этого sudo, pkexecне предоставляет root-права для всего процесса, а скорее обеспечивает более точный уровень контроля над политикой централизованной системы.

Теперь, если вы хотите запустить приложение с графическим интерфейсом без запроса пароля pkexec, это не сложно сделать. Давайте возьмем для примера GParted . Когда вы откроете его, вы увидите следующее диалоговое окно с запросом пароля:

Нажмите Детали, и диалоговое окно теперь будет выглядеть так:

Отсюда все, что вам нужно сделать, это открыть файл, используя, например, следующую команду:/usr/share/polkit-1/actions/com.ubuntu.pkexec.gparted.policy

gksu gedit /usr/share/polkit-1/actions/com.ubuntu.pkexec.gparted.policy

и измените следующие строки:

      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>

со следующим:

      <allow_any>yes</allow_any>
      <allow_inactive>yes</allow_inactive>
      <allow_active>yes</allow_active>

Сохраните файл и закройте его. Затем, когда вы откроете GParted, вас больше не будут спрашивать пароль.