Dotaz: Gentoo, systemd, NetworkManager a práva pro nm-applet

[SAM:]

Zdravím, mám experimentální Gentoo se systemd a řeším problém, že pod uživatelem nemám práva přes plasma-nm připojovat a nastavovat sítě. Nic není vidět, nebo to končí hláškou: "No session found for uid blah (unknown)"

výstup z nmcli general permission to naznačuje.

PERMISSION                                               VALUE 
org.freedesktop.NetworkManager.enable-disable-network    ne    
org.freedesktop.NetworkManager.enable-disable-wifi       ne    
org.freedesktop.NetworkManager.enable-disable-wwan       ne    
org.freedesktop.NetworkManager.enable-disable-wimax      ne    
org.freedesktop.NetworkManager.sleep-wake                ne    
org.freedesktop.NetworkManager.network-control           auth  
org.freedesktop.NetworkManager.wifi.share.protected      ne    
org.freedesktop.NetworkManager.wifi.share.open           ne    
org.freedesktop.NetworkManager.settings.modify.system    auth  
org.freedesktop.NetworkManager.settings.modify.own       auth  
org.freedesktop.NetworkManager.settings.modify.hostname  auth

Dokáže mi někdo poradit v jak kontextu systemd ta práva nastavit ? Řeší to nějak PolicyKit ? Nyní mám skupiny: wheel audio cdrom video users plugdev

Předem díky.

---

---

Odpovědi

[jadd]

Řeší to nějak PolicyKit

Řeší, uprav to nebo vytvoř lokální (uživatelské) pravidlo Polkitu, dle dokumentace. Skupiny jsou hezká věc ale jsou pod úrovní Polkitu, který když je příliš restriktivní jsou ti skupiny na nic. Dále jsou skupiny ovlivněny pravidly DBUSu.

[SAM:]

Mohl bych poprosit o nějaký konkrétnější popis o jaké pravidla jde, případně kde najdu dokumentaci ?

Dík.

[SAM:]

tak jsem si do pamu přidal pam_systemd.so jako required, nyní už mám práva:

org.freedesktop.NetworkManager.enable-disable-network ano org.freedesktop.NetworkManager.enable-disable-wifi ano org.freedesktop.NetworkManager.enable-disable-wwan ano org.freedesktop.NetworkManager.enable-disable-wimax ano org.freedesktop.NetworkManager.sleep-wake ano org.freedesktop.NetworkManager.network-control ano org.freedesktop.NetworkManager.wifi.share.protected ano org.freedesktop.NetworkManager.wifi.share.open ano org.freedesktop.NetworkManager.settings.modify.system ano org.freedesktop.NetworkManager.settings.modify.own ano org.freedesktop.NetworkManager.settings.modify.hostname ano

ale ovládání NM přes applet stejně nechodí. Zajímave je třeba, že loginctl neukazuje session

loginctl SESSION UID USER SEAT

0 sessions listed.

[jadd]

gentoo.org případně freedesktop.org ale měl bys mít i v /usr/share/doc nebo aspoň v man -k polkit

[jadd]

Ty práva tam jsou pro obecné použití pro víceuživatelské prostředí ve firmách. Ty máš gentoo a pravděpodobně jednouživatelský a ještě k tomu možnost polkit nesestavovat.

[pavlix]

To jsem řešil a dořešil jsem pořádně teprve nedávno. Ale používám vlastní ebuild a NetworkManager s Gitu a sem tam vlastní patch (třeba teď jeden kvůli networkmanager-openvpn). Jinak si nemyslím, že se tahle hláška dá řešit polkitem, podle mě je to hláška z NetworkManageru, která se dá řešit jedině tím, že consolekit nebo logind znají session a že je NetworkManager buildovaný s jeho podporou.

[SAM:]

Dík, že jsi se ozval. Práva v polkitu jsem pořešil nicméně stejně plasma-nm nechodí a ukazuje nesmysly. S NetworkManagerem řady 0.9 mi to chodilo OK, ale po stabilizaci 1.0 se to pokazilo. Mám ho buildnutý takto:

USE="bluetooth dhclient introspection modemmanager ncurses nss ppp systemd wext wifi -connection-sharing (-consolekit) -dhcpcd -gnutls -resolvconf (-selinux) -teamd {-test} -vala -zeroconf".

loginctl mi právě žádnou session od uživatele neukáže - když se pod uživatelem dám sudo, tak pak je vidět pouze root session. Můžeš mi poradit postup, jak to tedy rozchodit, respektive co je potřeba řešit, zda NM nebo session v loginctl ?

Dík moc.

[pavlix]

loginctl mi právě žádnou session od uživatele neukáže

V tom případě máš ale asi špatně nakonfigurovaný PAM. Teď už to podle mě funguje samo, proto to zmizelo z Gentoo wiki. Poslední řádek v mém /etc/pam.d/system-auth vypadá takto:

system-auth:-session        optional        pam_systemd.so

[SAM:]

No, u mne ten řádek vypadá stejně:

cat /etc/pam.d/system-auth
auth            required        pam_env.so
auth            sufficient      pam_ssh.so
auth            sufficient      pam_unix.so try_first_pass likeauth nullok 
auth            required        pam_deny.so
 
account         required        pam_unix.so 
account         optional        pam_deny.so
 
password        required        pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3 
password        sufficient      pam_unix.so try_first_pass use_authtok nullok sha512 shadow 
password        required        pam_deny.so
 
session         required        pam_limits.so 
session         required        pam_env.so 
session         sufficient      pam_ssh.so
session         required        pam_unix.so 
session         optional        pam_permit.so
-session        optional        pam_systemd.so

ale stejně session v loginctl nemám :(

[pavlix]

Doufám, že to zkoušíš všechno nějak načisto a že se nebavíme o měsíc starém loginu uspávaného laptopu nebo tak něco. Ten logind mi normálně funguje a všechny sessiony tam vždycky vidím. Používám ale Gentoo stable (převážně).

[SAM:]

Jasny, je to všechno aktuálně z mého laptopu. Všechny podměty rovnou zkouším. Jinak ten systém je buildnuty cca před měsícem z čistého stage3 a používám ho každy den.

[SAM:]

Hm, tak už asi tuším odkud vítr vane. V případě že si příhlásím pomocí pam_ssh (tedy heslem klíče) tak loginctl nevidí session a nm-plasma nechodí. Pokud se přihlásím unix heslem, tak loginctl session vidí a plasma-nm ovládá NM.

[pavlix]

Mně to pokud vím funguje i na to SSH s klíčem.

[SAM:]

a jak vypadá tvůj system-auth ? Já prostě když se přihlásím klíčem, tak loginctl je prázdný.

[pavlix]

Aha, teď jsem to zkoušel a nemám je, asi si to s něčím pletu.

[SAM:]

Tak jsem to chvíli testoval a zkutečně pokud se přihlásím pomocí pam_ssh, tak loginctl nevidí session a plasma-nm nefunguje. Pokud se přihlásím přes pam_unix, tak loginctl vidí mojí uživatelskou session a plasma-nm krásně funguje. Vysvětlení tohoto chování zatím nemám.

[SAM:]

Znovu otevírám toto vlákno, protože se mi za čtvrt roku nepodařilo přijít na to, proč když se přihlásím přes pam_unix, tak loginctl vidí mojí session a networkmanager a nm-applet fungují správně a v případě, že se přihlásím přes pam_ssh, tak loginctl nevidí moji session a networkmanager pak nefunguje. Rekompiloval jsem upgradoval jsem, hrál si se system-auth, ale problém přetrvává.

Nedokázal by mne někdo nasměrovat správným směrem ? Dík.

[SAM:]

session sufficient pam_ssh.so

"sufficient" říká, že pokud tento PAM modul uspěje, už se nemají provádět žádné další. Tedy se neprovede ani pam_systemd.so.

[pavlix]

+1

Dobré oko, ty nás vždycky zachráníš. Sice se teď cítím jako debil, že jsem poradil, ale už nedokázal ověřit aplikaci té rady, ale aspoň si dám snad příště větší pozor. Kdybys něco potřeboval...

[SAM:]

Díky, to pomohlo. Slepota.

[SAM:]

ještě spravit, aby se správně spustil ssh-agent s klíčem :)

[SAM:]

Ještě byla zrada v tom, že se spouštěl ssh-agent 2x - jednou ze session pam_ssh.so a podruhé od KDE (skripty v /etc/kde).

[SAM:]

ten čtyřdevítkový ebuild zdechne na automaku.

[pavlix]

Může se stát ledacos kvůli změnám v upstreamu, live ebuild se může kdykoli rozbít, hned zkusím rebuild.

[pavlix]

Funguje mi to bez problémů. Zkontroluj jestli ti nezdechává na perlu a nepotřebuješ spustit perl-cleaner, mně to bez toho naposled buildovat nešlo.