Ausführen einer GUI-Anwendung als ein anderer Benutzer (nicht als Root)

Angenommen, ich habe 2 Benutzerkonten user1und user2. Wenn ich mich als anmelde user1und dann auf user2using umschalte su, kann ich Befehlszeilenprogramme ausführen, aber GUI-Programme schlagen fehl.

Beispiel:

user1@laptop:~$ su - user2
user2@laptop:~$ leafpad ~/somefile.txt
No protocol specified
leafpad: Cannot open display: 

Wie kann ich eine GUI-Anwendung ausführen?

su vs. su -

Wenn Sie ein anderer Benutzer werden, möchten Sie in der Regel verwenden su - user2. Der Bindestrich zwingt Benutzer2, eine Quelle .bash_profilezu erhalten.

xhost

Zusätzlich müssen Sie Benutzern Zugriff auf Ihr Display gewähren. Dies wird von X geregelt. Mit dem Befehl xhost +können Sie anderen Benutzern die Berechtigung erteilen, GUIs auf dem Desktop von Benutzer1 anzuzeigen.

HINWEIS: Wenn xhost +Sie das Programm ausführen, möchten Sie es ausführen, während Sie sich noch in einer Shell befinden, die zu Benutzer1 gehört.

$ DISPLAY

Wenn Sie Benutzer2 werden, müssen Sie möglicherweise die Umgebungsvariable festlegen $DISPLAY.

$ export DISPLAY=:0.0

Sie müssen die Authentifizierung von dem Token teilen user1 (unter der Annahme ~Heimat ist user1 ):

cat ~/.Xauthority | sudo -u user2 -i tee .Xauthority > /dev/null

Sie können die X11-Weiterleitung verwenden:

ssh -XY otheruser@localhost your-gui-program-name-here

Sie können die App von einem anderen Benutzer starten. Ich starte die Gimp-App von Benutzer2 aus, während ich mit Benutzer 1 angemeldet bin (GUI):

$ xhost +
$ sudo su user2

(Pass eingeben)

$ gimp

Genießen :)

Sie können den Befehl sux versuchen:

sux user2

sux wird das $ DISPLAY-Zeug für Sie erledigen. Möglicherweise müssen Sie es installieren mit:

sudo apt-get install sux

unter Debian / Ubuntu.

Alternativ dazu suxkönnen Sie den grafischen Befehl ( firefox-esrim folgenden Beispiel) sicher ausführen als $AUTHUSER( guestim folgenden Beispiel):

AUTHUSER=guest
AUTHSTRING=SI:localuser:${AUTHUSER}
xhost +${AUTHSTRING} > /dev/null
SUDO_ASKPASS=/usr/bin/ssh-askpass
export SUDO_ASKPASS
sudo -k --askpass -u ${AUTHUSER} /usr/bin/firefox-esr
xhost -${AUTHSTRING} > /dev/null
sudo -K

der Code macht:

1. Ermöglicht dem guestBenutzer den Zugriff auf Ihren aktuellen Benutzer $DISPLAYüberxhost +SI:localuser:guest
2. Anwendungen ssh-askpassSie grafisch für Passwort fragen (natürlich könnten Sie sudoers(5) NOPASSWD:dies vermeiden, wenn Sie Ihre Sicherheitspolitik denkt , dass es in Ordnung ist. Oder könnten Sie andere verwenden askpassProgramme, oder sie in Konfigurationsdateien (siehe angeben sudo(8)Einzelheiten über --askpass)
3. Wenn das Kennwort in Ordnung ist (und Sie über Berechtigungen verfügen sudoers(5)), wird der Befehl /usr/bin/firefox-esrals anderer Benutzer ausgeführt ( guest).
4. Nach Abschluss des Programms werden die guestZugriffsberechtigungen für andere Benutzer ( ) $DISPLAYüber widerrufenxhost -SI:localuser:guest

5. sudo -KEntfernt schließlich das zwischengespeicherte Passwort. Beim nächsten Aufruf von ssh-askpasswerden Sie erneut nach dem Passwort gefragt (anstatt das zwischengespeicherte Passwort zu verwenden).

   Es ist zwar wenig mehr Arbeit als das, was gksu(8)oder was es sux(8)getan hat, aber es kann als Skript geschrieben werden und es ist viel sicherer als:

   • xhost + (Jeder Benutzer hat Zugriff auf Ihre grafische Anzeige, solange diese in Kraft ist.)
   • für andere Benutzer lesbar ~ / .xauth (unbegrenzter Zugriff dieses Benutzers auf Ihr Display)
   • was gksu/ suxtat (temporäre Kopie von ~/.Xauthority, die es dem angegebenen Benutzer ermöglichte MIT-MAGIC-COOKIE-1, Ihr Display zu kopieren und weiter zu verwenden, auch nachdem gksu / sux beendet wurde (solange Sie das Gerät nicht heruntergefahren oder sich vom Display abgemeldet haben - Bildschirmschoner, Ruhezustand usw. haben die Magie nicht verändert Plätzchen).

da nur ein lokaler Benutzer auf Ihre Anzeige zugreifen kann und nur solange der Befehl ausgeführt wird (wenn der Befehl beendet ist, $AUTHUSERkann er in keiner Weise mehr auf Ihre Anzeige zugreifen).

Eine weitere sichere Alternative ist ssh -X(ohne -Ydie eigentlich macht Sie weniger sicher! Sehen ForwardX11Trustedin ssh_config(5)für Details), so ist einfacher zu benutzen , wenn Sie es nicht scripting, aber es induziert additinal Overhead (zB. Es ist langsamer) und einige Programme möglicherweise nicht korrekt funktionieren ohne unsicher -Y .

Sie müssen die Installationsoberfläche als Benutzer2 laden .

Versuchen Sie dies zu befolgen:

Melden Sie sich als root an :

sudo su

Testen Sie den x-Server:

xclock

Wenn Sie eine laufende Uhr sehen können, ist das eine gute Idee. Versuchen Sie nun Folgendes:

xhost

Das Ergebnis sollte so aussehen:

xhost SI:localuser:tri
# tri is my user name

Lassen Sie jetzt user2 auf xhost zugreifen

xhost +SI:localuser:user2

Versuchen Sie nun erneut, sich bei Benutzer2 anzumelden und ein beliebiges GUI-Programm zu öffnen.