Правила iptables для пересылки tftp через NAT

В systemdи связанных утилитах действия, которые могут потребовать привилегированного доступа, направляются через PolicyKit. Запустите pkactionбез каких-либо параметров, чтобы увидеть список всех возможных действий, обрабатываемых PolicyKit. Чтобы увидеть текущую политику для определенного действия, используйте pkaction --verbose --action-id . Например, изменение имени хоста:

# pkaction | grep host
org.freedesktop.hostname1.set-hostname
org.freedesktop.hostname1.set-machine-info
org.freedesktop.hostname1.set-static-hostname

# pkaction --verbose --action-id org.freedesktop.hostname1.set-hostname
org.freedesktop.hostname1.set-hostname:
  description:       Set host name
  message:           Authentication is required to set the local host name.
  vendor:            The systemd Project
  vendor_url:        http://www.freedesktop.org/wiki/Software/systemd
  icon:              
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   auth_admin_keep

Таким образом, текущая политика в моей системе для изменения имени хоста auth_admin_keep-, то есть требуется пароль администратора , если только пользователь совсем недавно успешно не прошел аналогичную проверку (, точно так же, как sudoможно избежать последовательных запросов пароля ).

А кто такой администратор, чей пароль может разрешить эти действия? В моей системе Debian 9 это определяется файлами в каталоге /etc/polkit-1/localauthority.conf.d/-по умолчанию, только root и члены группы пользователей sudo.

Если вам не нравится эта политика, вы можете легко изменить ее, написав несколько пользовательских файлов конфигурации PolicyKit.

PolicyKit можно настроить так, чтобы он требовал любых следующих «уровней безопасности» для любого управляемого им действия:

• yes-пользователь всегда может это сделать, не задавая вопросов
• auth_self_keep-Если пользователь в последнее время не делал ничего, требующего проверки пароля, запросите пароль пользователя, чтобы убедиться, что это действительно он/она. Если в течение нескольких -минут выполняется несколько последовательных действий этого уровня, проверки могут быть пропущены после первой.
• auth_self-всегда требовать проверки пароля пользователя
• auth_admin_keep-требуется пароль администратора. Так же, как и auth_self_keep, после однократного ввода пароля (и, возможно, имени администратора ), пользователь может выполнять несколько действий этого уровня в течение короткого промежутка времени без дополнительных запросов пароля
.
• auth_admin-всегда требуется проверка пароля, и пользователь, отвечающий на проверку пароля, должен быть одним из пользователей с правами администратора
• no-Действие отклонено без дальнейших вопросов.

Время сохранения ..._keepрезультатов явно жестко -закодировано в исходном коде PolicyKit:вот ссылка на PolicyKit Git.

/* TODO: right now the time the temporary authorization is kept is hard-coded - we
 *       could make it a propery on the PolkitBackendInteractiveAuthority class (so
 *       the local authority could read it from a config file) or a vfunc
 *       (so the local authority could read it from an annotation on the action).
 */
 expiration_seconds = 5 * 60;

В настоящее время, по-видимому, нет никаких средств для настройки этого значения во время выполнения -, а также для продления метки времени аутентификации -после ее установки.

Похоже, что OpenSuSE расширил это с помощью результатов ...keep_sessionи ...keep_always. По-видимому, они также переосмыслили действия ...keep, чтобы они означали «запоминать результат до тех пор, пока продолжается процесс запроса».