非sudoグループがUpstartジョブを制御できるようにする

システムの起動時に実行するようにUpstartジョブを設定しようとしていますが、これは以外のグループのメンバーによって開始/停止することもできsudoます。以前のバージョンでは、sudoersファイルに追加してこれを機能させるためにupdate-rc.dスクリプトを使用して保存し/etc/init.d/て%Group ALL = NOPASSWD: /etc/init.d/scriptnameいましたが、Upstartで同等の機能を動作させることはできません。

私は、追加しようとした%Group ALL = NOPASSWD: /sbin/initctl start jobnamesudoersファイルにはなく、コマンドを実行しようとすると、start jobnameこのエラーが発生します。

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

私が知る限りでは、それは、UpstartのD-Bus構成ファイルで「開始」メッセージを送信する権限がユーザーアカウントに与えられていないという不満です。特定のサービスへのアクセスをグループに許可するために、そのファイルを編集する方法に関する情報を実際に見つけることができませんでした-そのようなオプションはありますか？構成ファイルを編集せずにジョブを実行できるように、Sudoersファイルを編集する方法はありますか？以前のバージョンにこだわる方がいいですか？

Upstartに固有のD-Bus構成がどこに保持されているかを調べることから始めることができます。destination="com.ubuntu.Upstart"エラーメッセージからそのスニペットを参照してください？次に、D-Bus構成ファイルが含まれるフォルダーでgrepを実行してみます。

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

そのUpstart.confファイルにはポリシーの例がいくつかあります。それらからポリシーの形式を把握してみてください。次に、特定のユーザーに必要なアクションだけを許可するようにします。たとえば、次のように：

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

これにより、pope_benedictユーザーはそのジョブを開始できます。

「許可」ポリシー属性の値は、元のエラーメッセージにリストされていることに注意してください。

私は個人的に/etc/sudoers.d/jobname_myuserファイルで次の行を使用しています：

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

ここで説明されているとおり：https : //serverfault.com/a/390723/68608

このようなオプションはsudoには存在しません。

SysvスクリプトとUpstart構成ファイルの違いは次のとおりです。Sysvスクリプトはそれ自体がスクリプトであり、実行可能ファイルであり、sudoに特定のグループにそれらの実行を許可することができます。一方、Upstart構成ファイルは単なる構成ファイルであり、実行可能ファイルではありません。したがって、start（symlinkへのinitctl）実行はsudoが許可するものです。ここでのあなたの問題は、人々がinitctlあなたを実行できるようにすることは、あなたが彼らにinitctlすべてを許可するということです。

解決策は、単一の仕事に関心がある場合は簡単です。スクリプトを作成し、言う/usr/bin/jobname.shと

#!/bin/sh
initctl $1 jobname

次にchmod 755 /usr/bin/jobname.sh、最後にその実行可能ファイルをsudoersファイルに追加します。

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

これにより、誰でもこの特定のジョブを呼び出しjobname.sh startたりjobname.sh stop、制御したりできます。パラメータstartやstopパラメータのみを許可するチェックを追加することができます。

上記のように、dbusデーモンには、特定のアプリケーション専用の構成ファイルがあります。

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

構成ファイルは、リソース制限、セキュリティパラメータなども確立します。

詳細については、dbus-daemon-1（1）-Linux manページを参照してください

グループがUpstartジョブを開始/停止できるようにするには、次のポリシーを/etc/dbus-1/system.d/Upstart.confに追加します

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

デフォルトポリシーを変更する前に、このようなポリシーのセキュリティへの影響を考慮する必要があります。YourGroupNameのメンバーは、すべての Upstartジョブを開始/停止できます。