允许非sudo组控制Upstart作业

我正在尝试设置Upstart作业以在系统启动时运行，并且该作业也可以由以外的其他组成员启动/停止sudo。在以前的版本中，我使用update-rc.d和存储了脚本/etc/init.d/来通过将其添加%Group ALL = NOPASSWD: /etc/init.d/scriptname到sudoers文件中来使其工作，但是对于Upstart，我似乎无法获得等效的工作。

我尝试添加%Group ALL = NOPASSWD: /sbin/initctl start jobname到sudoers文件中，但是尝试运行命令start jobname会产生此错误：

start: Rejected send message, 1 matched rules; type="method_call", sender=":1.21" (uid=1000 pid=5148 comm="start jobname " interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

据我所知，这是关于如何使我的用户帐户无法在Upstart的D-Bus配置文件中发送“开始”消息的投诉。我实际上无法找到有关如何编辑该文件以授予组访问特定服务的权限的任何信息-是否存在这样的选项？有没有一种方法可以编辑Sudoers文件，这样我就可以运行作业而无需编辑配置文件？我最好还是坚持以前的版本吗？

您可以从查找特定于Upstart的D-Bus配置的位置开始。destination="com.ubuntu.Upstart"在错误消息中看到该代码段？现在尝试使用D-Bus配置文件将其添加到文件夹中：

vhost07:~ $ grep -r "com.ubuntu.Upstart" /etc/dbus-1
/etc/dbus-1/system.d/Upstart.conf:    <allow own="com.ubuntu.Upstart" />
[...skipped...]

该Upstart.conf文件包含一些策略示例。我想您可以尝试从中找出政策的格式。然后尝试只允许您的特定用户执行所需的操作。例如，如：

<policy user="pope_benedict">
  <allow send_destination="com.ubuntu.Upstart"
         send_interface="com.ubuntu.Upstart0_6.Job"
         send_member="Start"/>
</policy>

这应该允许pope_benedict用户开始该作业。

请注意，原始错误消息中列出了“允许”策略属性的值。

我个人在/etc/sudoers.d/jobname_myuser文件中使用以下行：

myuser ALL = (root) NOPASSWD: /sbin/start jobname, /sbin/stop jobname, /sbin/restart jobname, /sbin/status jobname

如此处所述：https : //serverfault.com/a/390723/68608

这样的选项在sudo中不存在。

Sysv脚本和Upstart配置文件之间的区别仅在于：Sysv脚本本身就是脚本，可执行文件，您可以告诉sudo允许某些团体执行它们。另一方面，Upstart配置文件仅是配置文件，不是可执行文件，因此sudo允许执行start（）的符号链接initctl。您在这里的问题是，允许人们运行initctl您会允许他们进行initctl所有操作。

如果您只关注一项工作，解决方案就很简单。做一个剧本，说/usr/bin/jobname.sh有

#!/bin/sh
initctl $1 jobname

然后chmod 755 /usr/bin/jobname.sh最后将该可执行文件添加到您的sudoers文件中：

%Group ALL = NOPASSWD: /usr/bin/jobname.sh

这样，每个人都可以呼叫jobname.sh start或jobname.sh stop控制此特定工作。您可能需要添加一些检查以仅允许start和stop参数等。

如上所述，dbus守护程序具有一个配置文件，专用于特定应用程序。

ls /etc/dbus-1/system.d/
avahi-dbus.conf
bluetooth.conf
...
Upstart.conf
wpa_supplicant.con

配置文件还建立资源限制，安全性参数等。

有关详细信息，请参见dbus-daemon-1（1）-Linux手册页

要允许组启动/停止Upstart作业，请在/etc/dbus-1/system.d/Upstart.conf中添加以下策略

  <policy group="YourGroupName">
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Start" />
    <allow send_destination="com.ubuntu.Upstart"
       send_interface="com.ubuntu.Upstart0_6.Job"
       send_type="method_call" send_member="Stop" />
  </policy>

您应在更改默认策略之前考虑此类策略的安全隐患。YourGroupName的成员将能够启动/停止所有 Upstart作业。