Uruchamianie aplikacji GUI jako inny użytkownik (inny niż root)

Załóżmy, że mam 2 konta użytkowników user1i user2. Kiedy loguję się jako user1, a następnie przełączam na user2używanie su, mogę uruchamiać programy wiersza polecenia, ale programy GUI zawodzą.

Przykład:

user1@laptop:~$ su - user2
user2@laptop:~$ leafpad ~/somefile.txt
No protocol specified
leafpad: Cannot open display: 

Jak mogę uruchomić aplikację GUI?

su vs. su -

Kiedy stajesz się innym użytkownikiem, którego zazwyczaj chcesz używać su - user2. Myślnik zmusi użytkownika 2 .bash_profiledo uzyskania źródła.

xhost

Dodatkowo musisz przyznać użytkownikom dostęp do twojego wyświetlacza. Jest to regulowane przez X. Możesz użyć tego polecenia, xhost +aby zezwolić innym użytkownikom na wyświetlanie GUI na pulpicie użytkownika 1.

UWAGA: Podczas uruchamiania xhost +będziesz chciał uruchomić to w powłoce należącej do user1.

WYŚWIETLACZ $

Kiedy staniesz się użytkownikiem2, może być konieczne ustawienie zmiennej środowiskowej $DISPLAY.

$ export DISPLAY=:0.0

Musisz udostępnić token uwierzytelniający użytkownikowi 1 (zakładając, że ~jest to dom użytkownika 1 ):

cat ~/.Xauthority | sudo -u user2 -i tee .Xauthority > /dev/null

Możesz użyć przekazywania X11:

ssh -XY otheruser@localhost your-gui-program-name-here

Możesz uruchomić aplikację od innego użytkownika. Uruchomię aplikację gimp od użytkownika 2, podczas gdy jestem zalogowany (GUI) z użytkownikiem 1:

$ xhost +
$ sudo su user2

(wprowadź hasło)

$ gimp

Cieszyć się :)

Możesz spróbować użyć polecenia sux:

sux user2

sux zajmie się rzeczami dla Ciebie DISPLAY. Może być konieczne zainstalowanie go z:

sudo apt-get install sux

pod Debian / Ubuntu.

Alternatywnie do suxbezpiecznego uruchomienia polecenia graficznego ( firefox-esrw przykładzie poniżej) jako $AUTHUSER( guestw przykładzie poniżej):

AUTHUSER=guest
AUTHSTRING=SI:localuser:${AUTHUSER}
xhost +${AUTHSTRING} > /dev/null
SUDO_ASKPASS=/usr/bin/ssh-askpass
export SUDO_ASKPASS
sudo -k --askpass -u ${AUTHUSER} /usr/bin/firefox-esr
xhost -${AUTHSTRING} > /dev/null
sudo -K

kod:

1. daje guestużytkownikowi dostęp do bieżącego użytkownika $DISPLAYza pośrednictwemxhost +SI:localuser:guest
2. używa ssh-askpassgraficznie, aby poprosić cię o hasło (możesz oczywiście sudoers(5) NOPASSWD:tego uniknąć, jeśli twoja polityka bezpieczeństwa uważa, że ​​jest w porządku. Możesz też użyć innych askpassprogramów lub podać je w plikach konfiguracyjnych ( sudo(8)szczegółowe informacje na ten temat --askpass)
3. jeśli hasło jest prawidłowe (i masz uprawnienia sudoers(5)), uruchamia polecenie /usr/bin/firefox-esrjako inny użytkownik ( guest)
4. po zakończeniu programu uprawnienia innego użytkownika ( guest) do uzyskania dostępu $DISPLAYzostaną cofnięte przezxhost -SI:localuser:guest

5. na koniec sudo -Kusuwa hasło z pamięci podręcznej, więc następne wywołanie ssh-askpasspoprosi o hasło ponownie (zamiast używać hasła z pamięci podręcznej)

   Chociaż jest to niewiele więcej pracy niż co gksu(8)lub sux(8)zrobione, można go skryptować i jest znacznie bezpieczniejsze niż:

   • xhost + (każdy użytkownik będzie miał dostęp do twojego wyświetlacza graficznego, o ile działa)
   • czytelne ~ / .xauth przez innych użytkowników (nieograniczony dostęp tego użytkownika do twojego wyświetlacza)
   • what gksu/ suxdid (tymczasowa kopia ~/.Xauthority, która pozwoliła określonemu użytkownikowi skopiować MIT-MAGIC-COOKIE-1i kontynuować używanie twojego wyświetlacza nawet po zakończeniu gksu / sux (o ile nie zamknąłeś maszyny lub nie wylogowałeś się z ekranu - wygaszacze ekranu, hibernacja itp. nie zmieniły magii) ciastko).

ponieważ pozwoli to tylko jednemu użytkownikowi lokalnemu na dostęp do twojego wyświetlacza, a następnie tylko tak długo, jak długo polecenie zostanie uruchomione (po zakończeniu polecenia $AUTHUSERnie będzie już w żaden sposób uzyskiwać dostępu do twojego wyświetlacza).

Inną bezpieczną alternatywą jest ssh -X(bez -Yktórych rzeczywiście sprawia, że mniej bezpieczne! Zobaczyć ForwardX11Trustedw ssh_config(5)szczegóły), ponieważ jest łatwiejszy w użyciu, jeśli nie są skryptów, ale to wywołuje additinal napowietrznych (np. Jest to wolniejsze) i niektóre programy mogą nie działać poprawnie bez niebezpiecznych -Y .

Musisz załadować interfejs instalacyjny jako użytkownik2 .

Spróbuj wykonać to:

Zaloguj się jako root :

sudo su

Przetestuj serwer x:

xclock

Jeśli widzisz zegar pracujący, dobrze jest zacząć, teraz spróbuj uruchomić to:

xhost

Wynik powinien wyglądać tak:

xhost SI:localuser:tri
# tri is my user name

Teraz pozwól user2 uzyskać dostęp do xhost

xhost +SI:localuser:user2

teraz spróbuj zalogować się ponownie do user2 i spróbuj otworzyć dowolny program GUI.