18 Polkit 身份验证框架 #

当用户在功能齐全的桌面环境中启动图形会话时，身份验证代理通常会自动启动并在后台运行。当显示身份验证提示以响应请求授权执行特定操作的应用程序时，您会注意到这一点。无法轻松以文本模式或通过 SSH 使用 Polkit，因此本文档将重点介绍如何在图形会话环境中使用 Polkit。

Polkit 的配置由操作和授权规则组成：

Polkit 提供了用于完成特定任务的实用程序（有关更多细节，另请参见这些实用程序的相应手册页）：

如果给定的操作不存在专用的 Polkit JavaScript 规则，结果将取决于 Polkit 策略文件中为每个操作定义的隐式授权设置。授权分为三种类别：allow_active、allow_inactive 和 allow_any。allow_active 应用于活动会话中的用户。活动会话是文本模式控制台或图形用户环境中的本地登录。例如，当您切换到另一个控制台时（在这种情况下，相关的类别为 allow_inactive），会话将变为非活动状态。allow_any 用于所有其他环境，例如，用于通过 SSH 或 VNC 登录的远程用户。为其中的每个类别分配了以下授权设置之一：

到目前为止，所述 Polkit 策略文件中的隐式授权设置由相应应用程序的上游开发人员提供。我们将这些设置称为上游默认设置。这些上游默认设置不一定与 SUSE 系统上使用的默认值相同。SUSE Linux Enterprise Server 随附了一组可以覆盖上游默认设置的预定义特权。这些设置采用以下三种不同的模式（配置文件），每次只能有一种模式处于活动状态：

要切换处于活动状态的 Polkit 配置文件，请编辑 /etc/sysconfig/security，并将 POLKIT_DEFAULT_PRIVS 的值调整为 easy、standard 或 restrictive。然后以 root 身份运行 set_polkit_default_privs 命令。

请不要修改上面列出的文件中的配置文件设置。要定义您自己的自定义 Polkit 设置，请使用 /etc/polkit-default-privs.local。有关细节，请参见 第 18.4.3 节 “修改 SUSE 默认特权”。

可用的 Polkit 操作列表取决于您系统上安装的软件包。如需快速概览，请使用 pkaction 列出 Polkit 知道的所有操作。

在本示例中，我们将演示命令 gparted（“GNOME 分区编辑器”）如何集成到 Polkit 中。

文件 /usr/share/polkit-1/actions/org.opensuse.policykit.gparted.policy 包含以下内容：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
 "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
 "http://www.freedesktop.org/standards/PolicyKit/1.0/policyconfig.dtd">
<policyconfig> 1

  <action id="org-opensuse-polkit-gparted"> 2
    <message>Authentication is required to run the GParted Partition Editor</message>
    <icon_name>gparted</icon_name>
    <defaults> 3
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
     < allow_active>auth_admin</allow_active>
    </defaults>
    <annotate 4
      key="org.freedesktop.policykit.exec.path">/usr/sbin/gparted</annotate>
    <annotate 4
      key="org.freedesktop.policykit.exec.allow_gui">true</annotate>
  </action>

</policyconfig>

要添加您自己的策略，请创建采用上述结构的 .policy 文件，将相应的操作名称添加到 id 属性，并定义所需的覆盖隐式授权设置。

注意：已弃用的名称 PolicyKit

Polkit 授权框架以前称为 PolicyKit。在某些位置（例如上面的 XML 文档序言中），仍然使用了这个旧名称。

授权规则优先于隐式授权设置。要添加您自己的规则，请将您的文件存储在 /etc/polkit-1/rules.d/ 下。

此目录中的文件名以两位数开头，后接短划线和描述性名称，并以 .rules 结尾。这些文件中的函数按照目录中文件名的字典顺序执行。例如，00-foo.rules 排序在 60-bar.rules 甚至 90-default-privs.rules 之前（因此会先执行）。

在规则文件中，脚本通常会检查要授权的操作 ID。例如，要允许 admin 组的任何成员执行 gparted 命令，请检查操作 ID org.opensuse.policykit.gparted：

/* Allow users in admin group to run GParted without authentication */
polkit.addRule(function(action, subject) {
    if (action.id == "org.opensuse.policykit.gparted" &&
        subject.isInGroup("admin")) {
        return polkit.Result.YES;
    }
});

https://www.freedesktop.org/software/polkit/docs/latest/ref-api.html 上提供了 Polkit API 中各函数的所有类和方法的说明。

如第 18.2.2 节 “SUSE 默认特权”中所述，SUSE 为上游开发人员定义的 Polkit 隐式授权设置随附了不同的覆盖配置文件。可以在 /etc/polkit-default-privs.local 中定义自定义特权。此处定义的特权始终优先于预定义的配置文件设置。要添加自定义特权设置，请执行以下操作：

有关 SUSE Polkit 默认特权的完整文档，请参见 man polkit-default-privs。