Permitir que un grupo que no sea sudo controle el trabajo de Upstart

Estoy tratando de configurar un trabajo Upstart para que se ejecute en el inicio del sistema, y ​​eso también puede ser iniciado / detenido por miembros de un grupo que no sea sudo. Con una versión anterior, utilicé los update-rc.dscripts almacenados /etc/init.d/para que esto funcionara agregando %Group ALL = NOPASSWD: /etc/init.d/scriptnamea mi archivo sudoers, pero parece que no puedo obtener un equivalente que funcione para Upstart.

Intenté agregar %Group ALL = NOPASSWD: /sbin/initctl start jobnameal archivo sudoers, pero intentar ejecutar el comando start jobnameproduce este error:

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Por lo que puedo decir, esa es una queja sobre cómo mi cuenta de usuario no tiene el poder de enviar mensajes de 'Inicio' en el archivo de configuración de D-Bus para Upstart. No he podido encontrar ninguna información sobre cómo editar ese archivo para dar permiso a un grupo para acceder a un servicio específico. ¿Existe esa opción? ¿Hay alguna manera de editar el archivo Sudoers para que pueda ejecutar el trabajo sin editar el archivo de configuración? ¿Es mejor que me quede con la versión anterior?

Puede comenzar descubriendo dónde se mantiene la configuración D-Bus específica para Upstart. ¿Ves ese destination="com.ubuntu.Upstart"fragmento del mensaje de error? Ahora intente grep en la carpeta con los archivos de configuración de D-Bus:

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

Ese Upstart.confarchivo tiene algunos ejemplos de políticas. Supongo que podría intentar averiguar el formato de una política a partir de ellos. Luego intente permitir a su usuario específico solo las acciones que necesita. Por ejemplo, como en:

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

Esto debería permitir al pope_benedictusuario comenzar ese trabajo.

Tenga en cuenta que los valores para los atributos de política 'permitir' se enumeran en su mensaje de error original.

Personalmente estoy usando la siguiente línea en el archivo /etc/sudoers.d/jobname_myuser:

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

como se describe aquí: /server//a/390723/68608

Dicha opción no existe en sudo.

La diferencia entre los scripts de Sysv y los archivos de configuración de Upstart es solo eso: los scripts de Sysv son scripts, ejecutables por derecho propio y puede decirle a sudo que permita que algún grupo los ejecute. Por otro lado, los archivos de configuración de Upstart son simplemente archivos de configuración, no ejecutables, por lo que la ejecución de start(enlace simbólico a initctl) es lo que permite sudo. Su problema aquí es que permitir que las personas lo ejecuten initctlles permite initctltodo.

La solución es simple si su preocupación es simplemente un solo trabajo. Haz un guión, di /usr/bin/jobname.shcon

#!/bin/sh
initctl $1 jobname

luego chmod 755 /usr/bin/jobname.shy finalmente agregue ese ejecutable a su archivo sudoers:

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

De esta manera, todos pueden llamar jobname.sh starto jobname.sh stopcontrolar este trabajo específico. Es posible que desee añadir un poco de comprobación para permitir solamente starty stopparámetros, etc.

Como se señaló anteriormente, dbus daemon tiene un archivo de configuración que lo especializa para una aplicación en particular.

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

El archivo de configuración también establece límites de recursos, parámetros de seguridad, etc.

Para más detalles, consulte dbus-daemon-1 (1) - página de manual de Linux

Para permitir que un grupo inicie / detenga trabajos de Upstart, agregue la siguiente política a /etc/dbus-1/system.d/Upstart.conf

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

Debe considerar las implicaciones de seguridad de dicha política antes de cambiar la política predeterminada. Los miembros de YourGroupName podrán iniciar / detener todos los trabajos de Upstart.