Aktionen beschreiben¶

Aktionen werden in Textdateien mit XML-Format beschrieben. Jede Aktion wird identifiziert über eine eineindeutige AKTION-ID^[1] nach dem Muster Namensraum.Kennung, wobei sowohl Namensraum als auch Kennung nicht-leere Zeichenfolgen aus zulässigen ASCII-Zeichen darstellen, das sind die Buchstaben A-Z und a-z sowie die Ziffern 0-9, der Punkt und der Bindestrich. Eine Datei kann eine oder mehrere Aktionen beschreiben, jedoch müssen alle Aktionen in einer Datei denselben Namensraum (namespace) teilen. Der Dateiname muss Namensraum.policy lauten und die Datei muss in einem der folgenden Ordnern abgelegt werden:

• /etc/polkit-1/actions/ ist vorgesehen für vom Administrator für das System erstellte Aktionen, die dauerhaft benutzt werden sollen.

• /run/polkit-1/actions/ kann Aktionen enthalten, die nur für den aktuellen Systemstart gelten sollen. Das Verzeichnis /run/ wird bei jedem Systemstart neu erstellt.

• /usr/local/share/polkit-1/actions/ ermöglicht die dauerhafte Änderung in den mit dem System gelieferten Aktionen ohne diese selbst zu ändern. Dazu kopiert man die Datei aus dem folgenden Ordner in diesen Ordner und ändert die Kopie.

• /usr/share/polkit-1/actions/ enthält Aktionen, die mit dem System polkit geliefert werden oder vom Betriebssystem bzw. der Distribution stammen oder zu installierten Applikationen gehören. Man sollte selbst hier nichts ablegen oder ändern, weil eigene Eingriffe bei einem Update/Upgrade überschrieben werden können.

In der Regel existiert bei Ubuntu nur der zuletzt genannte Ordner. Sowohl Ordner als auch dort abgelegte Dateien müssen als Besitzer und Gruppe root gehören und nur root darf in diesen Ordnern Dateien erstellen und ändern können – wenn man selbst diese Ordner anlegt, muss man auch selbst die Rechte richtig setzen.

⚓︎ Beispiel (gekürzt): /usr/share/polkit-1/actions/org.freedesktop.policykit.policy

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC "-//freedesktop//DTD polkit Policy Configuration 1.0//EN" "http://www.freedesktop.org/software/polkit/policyconfig-1.dtd">
<!-- Policy definitions for core polkit actions. Copyright (c) 2008-2012 Red Hat, Inc. -->
<policyconfig>
  <vendor>The polkit project</vendor>
  <vendor_url>http://www.freedesktop.org/wiki/Software/polkit/</vendor_url>
  <action id="org.freedesktop.policykit.exec">
    <description>Run a program as another user</description> …
    <description xml:lang="de">Ein Programm als ein anderer Benutzer ausführen</description> …
    <message>Authentication is required to run a program as another user</message> …
    <message xml:lang="de">Legitimierung ist erforderlich, um ein Programm als ein anderer Benutzer auszuführen</message>
…
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
  </action>
</policyconfig>

Die verfügbaren XML-Elemente beschreibt Tabelle 1. Die für die Funktion einer Aktion wichtigen Elemente sind fett gedruckt; alle anderen dienen zur Strukturierung des Objekts, zur Dokumentation oder zur Bedienerführung.

Aktionen sichten¶

Beschreibungen für Aktionen kann man sich auf der Ebene XML anschauen mit jedem Texteditor oder auch auf der Kommandozeile^[2] mit einem Pager wie beispielsweise less:

less /usr/share/polkit-1/actions/org.freedesktop.policykit.policy 

Beispielausgabe s.o.

Im Klartext lässt sich eine Aktion mit pkaction im Terminal lesen.

Aktion bearbeiten¶

Die Beschreibungen der Aktionen lassen sich grundsätzlich mit Root-Rechten^[4] mittels Texteditor bearbeiten. Man sollte dies aber im Order /usr/share/polkit-1/actions/ vermeiden, da hier abgelegte Dateien beim Update/Upgrade überschrieben werden können. Statt einer direkten Bearbeitung kopiert man die Datei unter Beibehaltung ihres Namens in den Ordner /usr/local/share/polkit-1/actions/ und bearbeitet die Kopie. Solange man die AKTION-ID^[1] nicht ändert, überlagert die unter /usr/local/share abgelegte Beschreibung die gleichnamige unter /usr/share.

Beispielsweise kann man so mit der Datei org.freedesktop.policykit.policy verfahren und dann in der Kopie "<allow_active>auth_admin</allow_active>" ersetzen durch "<allow_active>auth_self</allow_active>". Dies bewirkt, dass jeder Benutzer bei der Benutzung von pkexec nicht mehr nach dem Passwort eines Administrators (im Sinne polkit), sondern nach seinem eigenen gefragt wird – dh. jeder Benutzer kann eine Root-Shell starten und benutzen.

Aktion anlegen¶

Wenn man für pkexec eine Aktion definieren möchte, erstellt man eine Datei im Ordner /etc/polkit-1/actions/. In diesen Beschreibungen muss man das XML-Element annotate mit einem Attribut key nach Tabelle 2 verwenden. Weiteres siehe Dokumentation.

⚓︎

Regeln auswerten¶

In jeder Situation, beschrieben durch SUBJEKT^[1] inkl. Typ der Sitzung und angeforderter AKTION^[1] prüft polkitd nacheinander bis zu 5 Kriterien nach Tabelle 4, bis eines ein definitives Ergebnis liefert. Die Prüfketten unterscheiden sich leicht je nach Typ der Sitzung.

⚓︎

Die Attribute local und active von SUBJEKT^[1] sind innerhalb der Regel abfragbar und die Regel kann abhängig von diesen Attributen ein unterschiedliches Ergebnis liefern.

1. polkitd prüft zunächst, ob für die Situation bereits aus kürzlich vorheriger Bearbeitung ein Ergebnis vorliegt und verwendet ein solches. Im anderen Fall werden

2. die relevanten Regeln nacheinander aufgerufen, bis eine ein definitives Ergebnis liefert. Dieses wird verwendet und weiter vorhandene Regeln werden nicht mehr aufgerufen. Im anderen Fall wird

3. für eine lokale Sitzung ein Wert aus der Beschreibung der Aktion verwendet, sofern ein solcher Wert existiert.

4. Im anderen Fall und ebenso bei einer Sitzung über Netzwerk wird der Wert für allow_any aus der Beschreibung der Aktion verwendet, sofern ein solcher Wert existiert.

5. Wenn alle vorherigen Prüfungen nichts liefern, misslingt die Authentifizierung und das System verhält sich wie bei einem explizitem no.

Regel bearbeiten¶

Dateien mit Regeln im Ordner /usr/share/polkit-1/rules.d/ kann man grundsätzlich mit erweiterten Rechten^[4] editieren, jedoch sollte man dies nicht tun, weil diese Dateien möglicherweise bei einem Update/Upgrade wieder ersetzt werden. Statt in diesem Ordner direkt zu ändern, kopiert man die Datei in den Ordner /etc/polkit-1/rules.d/ und ändert dort Inhalt und ggf. Dateinamen. Den Dateinamen muss man so wählen, dass die Kopie in Wörterbuchordnung vor dem Original sortiert wird. Den Inhalt dieser und ggf. weiterer Dateien muss man so gestalten, dass die Originaldatei gar nicht mehr ausgewertet wird – dazu sind die Rückgabewerte der Funktionen so zu wählen, dass keine Fälle mehr offen bleiben.

Jede Funktion beantwortet – möglicherweise nur für einige Fälle – entweder die erste oder zweite o.g. Frage. Mögliche Antworten auf die erste Frage siehe Tabelle 3 und für die zweite Frage ist immer ein Array mit Elementen aus Tabelle 5 zurück zu geben.

In den Dateien müssen die definierten Funktionen mit Hilfe der von polkit bereit gestellten Prozeduren

• addRule() für eine Funktion mit einer Antwort auf die Frage: „Welche Autorisierung ist im vorliegenden Fall erforderlich?“

• addAdminRule() für eine Funktion mit einer Antwort auf die Frage: „Wer ist im vorliegenden Fall Administrator (im Sinne polkit)?“

an polkitd übergeben werden.

⚓︎

Regel erstellen¶

Eine Datei für eigene Regeln erstellt man mit erweiterten Rechten^[4] im Ordner /etc/polkit-1/rules.d/. Der Dateiname ist so zu wählen, dass die Funktionen an der richtigen Stelle im gesamten Regelwerk aufgerufen werden. Bearbeitung der Datei wie vorstehend.

Beispiele für Regeldateien¶

function(action, subject) { return ["unix-group:sudo"] } 

function(action, subject) { return ["unix-group:sudo", "unix-group:admin"] } 

sudo touch /etc/polkit-1/rules.d/00-ubuntuusers-de.SATAN.rules
sudo chown root:root $_
sudo chmod 644 $_
echo 'addAdminRule( function(a, s) { return ["unix-user:NNN"] } ); ' | sudo tee $_ 

addRule( function (a, s) { return polkit.Result.YES } );