19 使用 PolKit 进行授权 #

当用户使用图形环境或通过控制台启动会话时，每个会话由授权和身份验证代理构成。授权以系统消息总线上的一个服务的形式来实现，而身份验证代理用于对启动会话的用户进行身份验证。当前用户需要证明其真实性（例如，使用通行口令）。

每个桌面环境都有自己的身份验证代理。通常，无论您选择哪个环境，都会自动启动该代理。

PolKit 的配置取决于操作和授权规则：

PolKit 包含若干用于特定任务的命令（有关更多细节，另请参见特定的手册页）：

目前，并非所有需要特权的应用程序都使用 PolKit。下面列出了 SUSE® Linux Enterprise Server 上提供的最重要的策略，这些策略按其使用场合类别排序。

可以针对任何活动和非活动的会话定义隐式特权。活动会话是您当前正在使用的会话，例如，当您切换到另一个控制台后，它就会变成非活动会话。如果将隐式特权设置为“否”，则不会为任何用户授权；设置为“是”则会为所有用户授权。不过，隐式特权通常用于请求身份验证。

用户可以通过以 root 身份或者以本身的身份进行身份验证来授权。这两种身份验证方法存在四种变体：

显式特权可向特定用户授予。可以不受限制地授予特权，或者，在使用约束时，将特权限制为仅对活动会话和/或本地控制台有效。

不仅可以向用户授予特权，而且还可以阻止用户。阻止的用户无法执行需要授权的操作，即使默认的隐式策略允许通过身份验证授权也不例外。

支持 PolKit 的每个应用程序都随附了由应用程序开发人员定义的一组默认隐式策略。这些策略就是所谓的“上游默认设置”。上游默认设置定义的特权不一定是在 SUSE 系统上默认激活的特权。SUSE Linux Enterprise Server 随附了一组可以覆盖上游默认设置的预定义特权：

要在两组默认特权之间切换，请在 /etc/sysconfig/security 中将 POLKIT_DEFAULT_PRIVS 的值调整为 restrictive 或 standard。然后以 root 身份运行 set_polkit_default_privs 命令。

请勿修改上述列表中的两个文件。要定义您自己的自定义特权集，请使用 /etc/polkit-default-privs.local。有关详细信息，请参考 第 19.4.3 节 “修改隐式特权的配置文件”。

可用的操作取决于您在系统上安装了哪些附加软件包。如需简要概述，请使用 pkaction 列出定义的所有规则。

如要了解如何将 gparted 命令（“GNOME 分区编辑器”）集成到 PolKit 中，请参见下面的示例。

文件 /usr/share/polkit-1/actions/org.opensuse.policykit.gparted.policy 包含以下内容：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
 "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
 "http://www.freedesktop.org/standards/PolicyKit/1.0/policyconfig.dtd">
<policyconfig> 1

  <action id="org-opensuse-policykit-gparted"> 2
    <message>Authentication is required to run the GParted Partition Editor</message>
    <icon_name>gparted</icon_name>
    <defaults> 3
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
     < allow_active>auth_admin</allow_active>
    </defaults>
    <annotate 4
      key="org.freedesktop.policykit.exec.path">/usr/sbin/gparted</annotate>
    <annotate 4
      key="org.freedesktop.policykit.exec.allow_gui">true</annotate>
  </action>

</policyconfig>

要添加您自己的策略，请创建采用上述结构的 .policy 文件，将适当的值添加到 id 属性，并定义默认权限。

您自己的授权规则会否决默认设置。要添加您自己的设置，请将您的文件储存在 /etc/polkit-1/rules.d/ 下。

此目录中的文件名以两位数开头，后接一个描述性名称，以 .rules 结尾。这些文件中的函数按其排序顺序执行。例如，00-foo.rules 排在 60-bar.rules 甚至 90-default-privs.rules 的前面（因而也会在它们的前面执行）。

在文件中，脚本会检查 .policy 文件中定义的指定操作 ID。例如，如果您要允许 admin 组的任何成员执行 gparted 命令，请检查操作 ID org.opensuse.policykit.gparted：

/* Allow users in admin group to run GParted without authentication */
polkit.addRule(function(action, subject) {
    if (action.id == "org.opensuse.policykit.gparted" &&
        subject.isInGroup("admin")) {
        return polkit.Result.YES;
    }
});

http://www.freedesktop.org/software/polkit/docs/latest/ref-api.html 上提供了 PolKit API 中各函数的所有类和方法的说明。

SUSE Linux Enterprise Server 随附了两组默认授权，分别位于 /etc/polkit-default-privs.standard 和 /etc/polkit-default-privs.restrictive 中。有关更多信息，请参见第 19.2.3 节 “默认特权”。

自定义特权在 /etc/polkit-default-privs.local 中定义。此处定义的特权始终优先于其他配置文件中定义的特权。要定义您的自定义特权集，请执行以下操作：