Gnome и настройки питания

wau
8 месяцев, 4 недели назад
Темы: 170
Сообщения: 1256
Участник с: 11 октября 2013
Вот шага 6 мы делать "от пользователя" не можем. Точнее - не будем. Ибо пользователь может потом сам переопределить, т.е. это не надежное решение.
vs220
8 месяцев, 4 недели назад (отредактировано 8 месяцев, 4 недели назад)
Темы: 25
Сообщения: 8524
Участник с: 16 августа 2009
wau
Вот шага 6 мы делать "от пользователя" не можем. Точнее - не будем. Ибо пользователь может потом сам переопределить, т.е. это не надежное решение.
Я уже не знаю как обьяснить вам.

Есть пользователи ваня ира у них нет прав судо они не состоят в админ группе и вы им перекрыли права на отключение через polkit выключить или отправить в сон машину они не могут
есть системный пользователь GDM изменить его настройки может только root (но зайдя от имени GDM) или тот кому дали привелегии через sudo у вани и иры этих прав нет и настройки GDM изменить они не могут.
wau
8 месяцев, 4 недели назад (отредактировано 8 месяцев, 4 недели назад)
Темы: 170
Сообщения: 1256
Участник с: 11 октября 2013
Если системный пользователь ждм root, судо нет у юзеров, юзеры состоят только в одноименных юзеровских группах, то -
1. если в консоли рута скормить команды dconf и перечитать, то юзерам, как показала проверка, начхать
2. а гуишный вход сам ЖДМ руту не предлагает. Дконфову же базу конкретного юзера ждм или кто там у них за нее отвечает, создает при первом входе через гуишный ждм.

Полкит не разрешает юзерам таймаутить в сон машину. ЖДМ каждому юзеру предоставлят возможность рожать свои юзерские настройки, и затем ждм, как показывают испытания, с рутовыми правами эти юзерские настройки реализует. Как и у казанная ранее аналогия с гновомы нетворкманагером.

Простая причинно-следственная связь -команды выполнил, файлики создал, а юзеры при актвином ждм как могли таймаутить компьютер, так и могут. И только прибитие ждм лишает их этой возможности.
Вот, спрашивают меня, в чем прелесть машинной вышивки? - отвечаю: сколь бы много вы вина в процессе не выпили, а строчка остается неизменно ровной. Так выпьем же за Инженеров! Не только за, но и вместе! Присединяйтесь к нам, графы, присоединяйтесь!
vs220
8 месяцев, 3 недели назад (отредактировано 8 месяцев, 3 недели назад)
Темы: 25
Сообщения: 8524
Участник с: 16 августа 2009
wau
если в консоли рута скормить команды dconf и перечитать, то юзерам, как показала проверка, начхать
Правильно , потому что dconf у каждого свой и рутовский на пользовательские никак не влияет.
wau
. а гуишный вход сам ЖДМ руту не предлагает. Дконфову же базу конкретного юзера ждм или кто там у них за нее отвечает, создает при первом входе через гуишный ждм.

Для изменения настроек gdm не нужен гуешный вход от рута, я вам это уже наверно пятый раз говорю.
Для их изменения надо или зайти самим gdm в консоли, или подтвердить сохранение настроек в гуе введя пароль рута или суперпользователя простой юзер это сделать не может
wau
Полкит не разрешает юзерам таймаутить в сон машину. ЖДМ каждому юзеру предоставлят возможность рожать свои юзерские настройки, и затем ждм, как показывают испытания, с рутовыми правами эти юзерские настройки реализует. Как и у казанная ранее аналогия с гновомы нетворкманагером
Gdm не предоставляет юзерам такую возможность, как и Нетворк менеджер если у вас простой юзер имеет возможность менять их настройки то он или суперпользователь и вы сами дали ему такую возможность или на эти конкретные действия есть правило polkit разрешающее это конкретное действие для Нетворк менеджера это usr/share/polkit-1/actions/org.freedesktop.NetworkManager.policy и также могут быть другие политики от других пакетов
Вы же кричите Васе не выключайте свет, а потом удивляетесь почему Ира выключает я же начальник и Васе говорил да и себе то же повторил. А Ира про это не слышала и с Васей не общается и Васины приказы не выполняет
wau
8 месяцев, 3 недели назад (отредактировано 8 месяцев, 3 недели назад)
Темы: 170
Сообщения: 1256
Участник с: 11 октября 2013
"Для их изменения надо или зайти самим gdm в консоли, " -

sudo su gdm
Эта учетная запись в данный момент недоступна.
"
или подтвердить сохранение настроек в гуе введя пароль рута
"

Он в юзерсоком аккаунте при изменении настроект засыпания рутовый пароль не спрашивает. За ненадобностью. Во всяком случае в моих экземплярах Гнома такого нет.

Возможно, я сероват, только из деревни. Если так, то можно пример исчерпывающего набора команд в консоли, формирующего этот танец?

И нет, не давал я обычным юзерам никаких отдельных дополнительных прав. Просто useradd. А свойства соединений они могут витель вплость до открытия пароля. И, согласитесь,термин "разрешать другим пользователям ИСПОЛЬЗОВАТЬ" не синоним "читать свойства".
vs220
8 месяцев, 3 недели назад
Темы: 25
Сообщения: 8524
Участник с: 16 августа 2009
wau
sudo su gdm
вы принципиально не читаете ни вики ни то что я вам написал
vs220
6. отключаем выключение в gdm
https://wiki.archlinux.org/title/GDM#dconf_configuration
заходим от пользователя GDM
sudo machinectl shell gdm@ /bin/bash
dbus-launch gsettings set org.gnome.settings-daemon.plugins.power sleep-inactive-ac-type 'nothing'
dbus-launch gsettings set org.gnome.settings-daemon.plugins.power power-button-action 'nothing'
exit

sudo dconf update
или наклацайте нужное в gdm-setting

перезагрузитесь
sudo reboot
wau
Он в юзерсоком аккаунте при изменении настроект засыпания рутовый пароль не сашивает. За ненадобностью. Во всяком случае в моих экземплярах Гнома такого нет.
Вы точно уверены что редактируете настройки gdm а не юзера , gdm-settinds у вас чей пароль спрашивает при сохранении настроек?
Покажите вывод ( состоят ли ваши юзеры в одной из этих груп)
 cat /etc/group |grep -P 'root|adm|wheel|pow
И какие есть политики полкит разрешаюшие действия простым юзнерам
pkaction -v
гляньте также что разрешено вашим юзерам в sudo
 sudo -lU имя_юзера
wau
8 месяцев, 3 недели назад
Темы: 170
Сообщения: 1256
Участник с: 11 октября 2013 

cat /etc/group |grep -P 'root|adm|wheel|pow'
root:x:0:root
power:x:98:
adm:x:999:daemon
wheel:x:998:я сам
snapd-range-524288-root:x:524288:

 sudo -lU
пустота, ибо я юзерам не давал судо

cat /etc/group grep -P 'rootadmwheelpow' - безумной длины выдача.
А вот за machinectl shell gdm@ /bin/bash отдельное спасибо, не знал о такой возможности.
vs220
8 месяцев, 3 недели назад
Темы: 25
Сообщения: 8524
Участник с: 16 августа 2009
wau
cat /etc/group grep -P 'rootadmwheelpow' - безумной длины выдача
если имелась ввиду выдача 
pkaction -v
то можно отфильтровать только действия которые разрешены простым юзерам без ввода админского пороля или вашего пароля
pkaction -v |grep -B8  yes
wau
8 месяцев, 3 недели назад (отредактировано 8 месяцев, 3 недели назад)
Темы: 170
Сообщения: 1256
Участник с: 11 октября 2013
Уже разумнее простыня выдачи, много нетворкманагеров, есть и такое -


org.freedesktop.UPower.PowerProfiles.hold-profile:
  description:       Hold Power Profile
  message:           Privileges are required to hold power profiles.
  vendor:            power-profiles-daemon
  vendor_url:        https://gitlab.freedesktop.org/hadess/power-profiles-daemon
  icon:
  implicit any:      no
  implicit inactive: no
  implicit active:   yes
--
org.freedesktop.UPower.PowerProfiles.switch-profile:
  description:       Switch Power Profile
  message:           Privileges are required to switch power profiles.
  vendor:            power-profiles-daemon
  vendor_url:        https://gitlab.freedesktop.org/hadess/power-profiles-daemon
  icon:
  implicit any:      no
  implicit inactive: no
  implicit active:   yes
--
  implicit active:   auth_admin

--
org.freedesktop.login1.hibernate-multiple-sessions:
  description:       Hibernate the system while other users are logged in
  message:           Authentication is required to hibernate the system while other users are logged in.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   yes
  annotation:        org.freedesktop.policykit.imply -> org.freedesktop.login1.hibernate
org.freedesktop.login1.inhibit-block-idle:
  description:       Allow applications to inhibit automatic system suspend
  message:           Authentication is required for an application to inhibit automatic system suspend.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      yes
  implicit inactive: yes
  implicit active:   yes

org.freedesktop.login1.inhibit-block-shutdown:
  description:       Allow applications to inhibit system shutdown
  message:           Authentication is required for an application to inhibit system shutdown.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes
--

org.freedesktop.login1.inhibit-block-sleep:
  description:       Allow applications to inhibit system sleep
  message:           Authentication is required for an application to inhibit system sleep.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes
  annotation:        org.freedesktop.policykit.imply -> org.freedesktop.login1.inhibit-delay-sleep org.freedesktop.login1.inhibit-block-idle

org.freedesktop.login1.inhibit-delay-shutdown:
  description:       Allow applications to delay system shutdown
  message:           Authentication is required for an application to delay system shutdown.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      yes
  implicit inactive: yes
  implicit active:   yes
  annotation:        org.freedesktop.policykit.imply -> org.freedesktop.login1.inhibit-delay-sleep

org.freedesktop.login1.inhibit-delay-sleep:
  description:       Allow applications to delay system sleep
  message:           Authentication is required for an application to delay system sleep.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      yes
  implicit inactive: yes
  implicit active:   yes

org.freedesktop.login1.inhibit-handle-hibernate-key:
  description:       Allow applications to inhibit system handling of the hibernate key
  message:           Authentication is required for an application to inhibit system handling of the hibernate key.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes

org.freedesktop.login1.inhibit-handle-lid-switch:
  description:       Allow applications to inhibit system handling of the lid switch
  message:           Authentication is required for an application to inhibit system handling of the lid switch.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes

org.freedesktop.login1.inhibit-handle-power-key:
  description:       Allow applications to inhibit system handling of the power key
  message:           Authentication is required for an application to inhibit system handling of the power key.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes
--

org.freedesktop.login1.inhibit-handle-reboot-key:
  description:       Allow applications to inhibit system handling of the reboot key
  message:           Authentication is required for an application to inhibit system handling of the reboot key.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes
org.freedesktop.login1.inhibit-handle-suspend-key:
  description:       Allow applications to inhibit system handling of the suspend key
  message:           Authentication is required for an application to inhibit system handling of the suspend key.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      no
  implicit inactive: yes
  implicit active:   yes
--
org.freedesktop.login1.power-off:
  description:       Power off the system
  message:           Authentication is required to power off the system.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   yes
--
org.freedesktop.login1.power-off-multiple-sessions:
  description:       Power off the system while other users are logged in
  message:           Authentication is required to power off the system while other users are logged in.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   yes
org.freedesktop.login1.suspend:
  description:       Suspend the system
  message:           Authentication is required to suspend the system.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   yes
--
org.freedesktop.login1.suspend-multiple-sessions:
  description:       Suspend the system while other users are logged in
  message:           Authentication is required to suspend the system while other users are logged in.
  vendor:            The systemd Project
  vendor_url:        https://systemd.io
  icon:
  implicit any:      auth_admin_keep
  implicit inactive: auth_admin_keep
  implicit active:   yes
--
vs220
8 месяцев, 3 недели назад (отредактировано 8 месяцев, 3 недели назад)
Темы: 25
Сообщения: 8524
Участник с: 16 августа 2009
wau
есть и такое
org.freedesktop.login1.suspend-multiple-sessions
yes

можно проверить сработало ли ваше правило disable-suspend.rules
https://wiki.archlinux.org/title/Polkit#Disable_suspend_and_hibernate
от юзера
pkcheck -u -p $$ --enable-internal-agent -a org.freedesktop.login1.suspend-multiple-sessions
если юзеру разрешено то выдаст пустой вывод
если не разрешено выдаст не авторизовано Not authorized и этот юзер без ввода пароля администратора не сможет отправить машину в suspend при мультисессии

Так же и с остальными правилами, power-off например разрешен

Если вы собираетесь делать настоящий сервер то имхо и от polkit можно было бы избавиться
Ну или отключить, также для проверки можно временно - что именно полкит разрешает нежелательные действия
systemctl disable --now polkit.service; systemctl mask polkit.service
systemctl disable --now polkit.service
обратно для включения
sudo systemctl unmask polkit.service

Но придется раздавать все нужные привелегии/разрешения юзерам и программам самостоятельно
 
Зарегистрироваться или войдите чтобы оставить сообщение.

© 2006-2024, Русскоязычное сообщество Arch Linux.
Название и логотип Arch Linux ™ являются признанными торговыми марками.
Linux ® — зарегистрированная торговая марка Linus Torvalds и LMI.