Новость на opennet

[Kuzma Shapran]

http://www.opennet.ru/opennews/art.shtml?num=35824 - и как обычно в каментах неконструктивный срач :-(

[Александр Соколов]

М... да, в этот раз как-то совсем тухленько.

14 января 2013 г., 1:39 пользователь Kuzma Shapran <leaf.o...@gmail.com> написал:

http://www.opennet.ru/opennews/art.shtml?num=35824 - и как обычно в каментах неконструктивный срач :-(

--
Best regards,
Alexander.

[TI_Eugene]

Рановато выпустили.
Лучше бы минорный релиз - для патчей.
Например 0.5.2 снова допускает удаленных пользователей (в терминал-сервере) до перегрузки компьютера.
И это очень плохо

понедельник, 14 января 2013 г., 1:39:47 UTC+4 пользователь Kuzma Shapran написал:

[Александр Соколов]

15 января 2013 г., 18:04 пользователь TI_Eugene <ti.e...@gmail.com> написал:

Рановато выпустили.
Лучше бы минорный релиз - для патчей.

Это и есть минорный релиз. Мажорный будет 0.6

 

Например 0.5.2 снова допускает удаленных пользователей (в терминал-сервере) до перегрузки компьютера.
И это очень плохо

Это как, поясни? И что значит опять, раньше такого не было, а теперь сломали?

 

понедельник, 14 января 2013 г., 1:39:47 UTC+4 пользователь Kuzma Shapran написал:

http://www.opennet.ru/opennews/art.shtml?num=35824 - и как обычно в каментах неконструктивный срач :-(

--
Best regards,
Alexander.

[TI_Eugene]

Совсем раньше такое было.
Потом я поставил рейзор на терминал и попросил Петра исправить (примерно после 0.4.1) - исправил.
И в 0.5.1 было нормально.
А в 0.5.2 снова поломалось - любой юзер может перегрузить/потушить/заснуть терминал-сервер.
А у меня реальный терминал-сервер и там реальные живые тётки. И они - я гарантирую это - в первый же вечер сервер потушат.

вторник, 15 января 2013 г., 19:49:19 UTC+4 пользователь Александр Соколов написал:

[Александр Соколов]

У тебя там systemd нет случаем?

15 января 2013 г., 20:06 пользователь TI_Eugene <ti.e...@gmail.com> написал:

--
Best regards,
Alexander.

[TI_Eugene]

Таки да - Fedora 17. systemd да

вторник, 15 января 2013 г., 20:11:03 UTC+4 пользователь Александр Соколов написал:

[Александр Соколов]

Попробуй через PolKit запретить

http://ru.gentoo-wiki.com/wiki/%D0%A3%D0%BF%D1%80%D0%B0%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5_%D0%BF%D1%80%D0%B0%D0%B2%D0%B0%D0%BC%D0%B8_%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0_%D0%BF%D0%BE%D1%81%D1%80%D0%B5%D0%B4%D1%81%D1%82%D0%B2%D0%BE%D0%BC_Policy_Kit#.D0.A3.D0.BF.D1.80.D0.B0.D0.B2.D0.BB.D0.B5.D0.BD.D0.B8.D0.B5_.D0.BF.D0.B8.D1.82.D0.B0.D0.BD.D0.B8.D0.B5.D0.BC

15 января 2013 г., 20:20 пользователь TI_Eugene <ti.e...@gmail.com> написал:

--
Best regards,
Alexander.

[TI_Eugene]

Эть...
во-1-х - я там ничего не понял. Кроме того, что это разрешает всем тушить машину из хфсе4
во-2-х - может таки отремонтировать? Кеды-то и гном - нормально работают, не дают.

вторник, 15 января 2013 г., 20:28:10 UTC+4 пользователь Александр Соколов написал:

[Александр Соколов]

ОК, я не против отремонтировать, я только не понимаю (или не знаю) как расзделяется кому можно выключать, а кому нельзя. Где ты это прописывал?   

15 января 2013 г., 20:32 пользователь TI_Eugene <ti.e...@gmail.com> написал:

--
Best regards,
Alexander.

[TI_Eugene]

Я - нигде.
Просто Петр отремонтировал - и оно само.
Пообщайся с ним, он в курсе.
Нюанс в том, что _локально_ зашедший юзверь тущить машину имеет право. А удаленно зашедший - нед.
Примерно то же самое, кстати, и в этой вашей венде.

Могу дать вход на тестовую машину. Только надо поставить nxclient (или opennx)

вторник, 15 января 2013 г., 20:56:43 UTC+4 пользователь Александр Соколов написал:

[TI_Eugene]

А еще razor некорректно закрывает сеанс.
В частности - при открытом Тптице он её вырубает, а она предлагает пожаловаться мозилле и/или перезапустить/прибить её

[StreSS Unk]

ЭЭэ... только не надо как в винде делать. Да кнопки нет на выключение или перезагрузку. Но если набрать shutdown /r /t 00:00 (или как-то так) оно вполне себе перезагружается.

И кстати если один и тот же пользователь зайдя локально может перезагрузить комп, то зайдя в терминал не может - на мой взгляд не логично, в плане отрезания функционала у DE/WM/Etc.

http://askubuntu.com/questions/93542/how-to-disable-shutdown-reboot-suspend-hibernate

Второй пост о том как отключить вообще для всех. А то как указать кого именно вы можете посмотреть в предыдущей ссылке.

15 января 2013 г., 21:51 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[TI_Eugene]

среда, 16 января 2013 г., 10:13:01 UTC+4 пользователь StreSS написал:

ЭЭэ... только не надо как в винде делать. Да кнопки нет на выключение или перезагрузку. Но если набрать shutdown /r /t 00:00 (или как-то так) оно вполне себе перезагружается.

Я в курсе. Но это уже одминские трюки. Нечаянно так не сделаешь.

И кстати если один и тот же пользователь зайдя локально может перезагрузить комп, то зайдя в терминал не может - на мой взгляд не логично, в плане отрезания функционала у DE/WM/Etc.

Нелогично.
Локальный пользователь может выключить машину, да. Но потом может включить.
А вот удаленный сервер - не включишь.

[StreSS Unk]

хм а если нужно именно выключить? По если пользователю даны на это права то он и сможет это сделать хоть локально хоть удаленно (ssh же не запрещает это сделать, а сколько раз по ошибке не в том терминале писал shutdown).

вполне есть механизмы для включения, WOL например.

Я конечно не проектировщиц операционных систем. Но если есть механизм позволяющий управлять питанием то пусть он и следит за этим.

16 января 2013 г., 10:16 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[TI_Eugene]

среда, 16 января 2013 г., 10:27:06 UTC+4 пользователь StreSS написал:

хм а если нужно именно выключить?

init 0
Но не в меню "Выход".
 

вполне есть механизмы для включения, WOL например.

Дано:
* сервер стоит у Hetzner (http://www.hetzner.de/)
* юзеры сидят в России
* одмин - в отпуске.

Расскажите мне про WOL, пожалуйста, еще раз.

[StreSS Unk]

Как админ в отпуске? А если у хостера проблемы с инетом/пожар/наводнение - кто разбираться будет? Пункт 1 и 3 взаимоисключающие в любой организации которая позволяет себе держать сервер не на территории предприятия.

Рассказать про Wake On Lan - это шутка?

Другой пример у меня с 10 разработчиков

Вася, Петя, Коля  - могут только выключать

Ваня, Серега, Дима - только в суспенд отправить

Леша, Костя, Саша, Паша - только ребут

Что же мне теперь то делать? У Вас то есть решение при текущем функционале, отрубить в полисикит. А если функционал под Вас то у меня решения нет :(

Есть предложение отображать или не отображать кнопки в зависимости от полномочий/прав.

16 января 2013 г., 10:31 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[TI_Eugene]

On 16 янв, 10:40, StreSS Unk <stres...@gmail.com> wrote:
> Как админ в отпуске? А если у хостера проблемы с инетом/пожар/наводнение -
> кто разбираться будет? Пункт 1 и 3 взаимоисключающие в любой организации
> которая позволяет себе держать сервер не на территории предприятия.

пожар-наводнение - это форс-мажор.
А одмин в отпуске - это не форсмажор.

> Рассказать про Wake On Lan - это шутка?

Ессно. Какой может быть WOL вне локальной сети?

> Другой пример у меня с 10 разработчиков
> Вася, Петя, Коля  - могут только выключать
> Ваня, Серега, Дима - только в суспенд отправить
> Леша, Костя, Саша, Паша - только ребут
>
> Что же мне теперь то делать? У Вас то есть решение при текущем функционале,
> отрубить в полисикит. А если функционал под Вас то у меня решения нет :(

Давайте вернемся в струю. То, что вы описываете - это _специальный_
случай, требующий специальных настроек.
А по-дефолту должно быть удаленным юзерам запрещено выключать.
Это работало в 0.5.1 (даже с systemd), это работает в кедах и в гноме.
Но не работает в 0.5.2

PS. BTW - есть предложение в основном репо вернуть взад 0.5.1, а 0.5.2
оставить только в транке.

[StreSS Unk]

Внезапно!! маленькая такая железочка с VPN у хостера стоит и опа мы в сети одной (и хостер не боится что я куда-то не туда полезу потому что есть VLAN). Если у хостера нет тех возможности вам это предоставить - бегите от этого хостера подальше... И не поверю что админ в отпуске это не форсмажор. Если  у вас бухгалтер в отпуске вы что ЗП не получаете? а если кадровик так что теперь уволится нельзя. Но это к делу не относится.

Хм если система управления питанием по умолчанию разрешает пользователя это делать

Можно удалить policykit и тогда у них не будет такой возможности. Ну в смысле кнопки останутся но реагировать не будут.

16 января 2013 г., 10:58 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[Александр Соколов]

2 TI_Eugene

Я поговорю с Петром, хотя по хорошему, сделай запись в багтреккере, потом можно будет найти соответствующий коммит, и понять что и как менялось. А то я сейчас вообще не представляю что такое Петр мог написать. В качестве хотфикса, может пока просто в коде закомментируешь пару строк? Я подскажу где.

На мой взгляд, тупо лочить для сетевых пользователей не совсем правильно. По хорошему это должно правиться через ГУЙ, кому можно, а кому нет выключать питание. Но я не в теме, может я чего и не понимаю.

2 StreSS Unk

Честно говоря я с polkit-ом не сталкивался, и ничего про его настройку не знаю. Ты в теме? Сможешь объяснить для чайника? Тогда можно будет написать razor-config-polkit.

--
Best regards,
Alexander.

[StreSS Unk]

Вся проблема в том что сделать конфигурация для polkit это блин труд великий.
https://wiki.archlinux.org/index.php/PolicyKit Вот смотрите есть правила и такие как ini и таки как xml да еще и логические выражения и параметры меняются в зависимости от системы/дистрибутива. Я пока не видел еще ни разу такой конфигурялки. Боюсь не осилим.

16 января 2013 г., 11:49 пользователь Александр Соколов <sokol...@gmail.com> написал:

[TI_Eugene]

Завел

среда, 16 января 2013 г., 11:49:39 UTC+4 пользователь Александр Соколов написал:

2 TI_Eugene

Я поговорю с Петром, хотя по хорошему, сделай запись в багтреккере, потом можно будет найти соответствующий коммит, и понять что и как менялось. А то я сейчас вообще не представляю что такое Петр мог написать.

 Давай

В качестве хотфикса, может пока просто в коде закомментируешь пару строк? Я подскажу где.

_по-умолчанию_ надо тупо лочить. А вот разлочивать - руками/гуй.
IMHO - по-дефолту надо делать как можно более безопасно.
В частности - в этих ваших кедах/гномах по-дефолту remote users не могут выключать машину. Но это можно _специально_ полезить в control panel и поправить.

На мой взгляд, тупо лочить для сетевых пользователей не совсем правильно. По хорошему это должно правиться через ГУЙ, кому можно, а кому нет выключать питание. Но я не в теме, может я чего и не понимаю.

Я, кстати, тоже. Никогда с ним не работал. И предпочел бы и не начинать :-)
 

[Александр Соколов]

Проблема в том что и Петр не помнит чтобы он мог поменять. Я буду просматривать весь код относящийся к питанию. Я сейчас не представляю как отличать локальных пользователей от удаленных, только если через consoleKit. Ты скажи у тебя горит? Если да, давай костыль придумаем.

16 января 2013 г., 11:57 пользователь TI_Eugene <ti.e...@gmail.com> написал:

--
Best regards,
Alexander.

[TI_Eugene]

Скажем так - крайне желательно.
Я пока не в отпуске, могу и включить - но всё равно это будет источником проблем.
Если одна тётка работает с документами и в 1С, а другая ВНЕЗАПНО привычно нажмет "Выключить" - то будут проблемы.
Давай костыли лепить

среда, 16 января 2013 г., 12:18:07 UTC+4 пользователь Александр Соколов написал:

[StreSS Unk]

Ось какая?

16 января 2013 г., 12:24 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[StreSS Unk]

Забыл спросить.

Собирал в ручную? из исходников.

16 января 2013 г., 12:29 пользователь StreSS Unk <stre...@gmail.com> написал:

[TI_Eugene]

среда, 16 января 2013 г., 11:37:41 UTC+4 пользователь StreSS написал:

Внезапно!! маленькая такая железочка с VPN у хостера стоит и опа мы в сети одной (и хостер не боится что я куда-то не туда полезу потому что есть VLAN). Если у хостера нет тех возможности вам это предоставить - бегите от этого хостера подальше... И не поверю что админ в отпуске это не форсмажор. Если  у вас бухгалтер в отпуске вы что ЗП не получаете? а если кадровик так что теперь уволится нельзя. Но это к делу не относится.

Абсолютно верно - не относится.
 

[TI_Eugene]

Fedora 17

среда, 16 января 2013 г., 12:29:08 UTC+4 пользователь StreSS написал:

Ось какая?

[TI_Eugene]

Вопросы немного непонятны.
1. Нет, не вручную. Полу-автоматически с помощью cmake
2. А из чего еще можно собрать?


среда, 16 января 2013 г., 12:30:36 UTC+4 пользователь StreSS написал:

[StreSS Unk]

Брал razor-qt из дистрибутива там 0.4.0 кажется. Так во там policykit прибит к этому пакету гвоздями и если его удалить то и razor-qt удаляется.

Собрал razor-qt перед этим удалив пакет policykit-1 (пакеты dev от policykit остались для сборки модуля).

Только сообщение выводится о невозможности выполнить действие из-за отсутствия polkit демона и отсутсвии в dbus ветки для polkit.

Что не будет работать: Монтирование флешек, Выдача запроса на ввод пароля (графическое окно с запросом пароля для выполнения привилегированных действий, например сменить дату, ip еще что-то эдакое)

Дистр Debian testing для Ubuntu должно быть так же

16 января 2013 г., 12:30 пользователь StreSS Unk <stre...@gmail.com> написал:

[TI_Eugene]

Fedora 17, пакеты - из репо X11_QtDesktop, 0.5.2
На букву polkit или policykit в системе установено только polkit. Больше - ничего.

среда, 16 января 2013 г., 12:49:34 UTC+4 пользователь StreSS написал:

[StreSS Unk]

Поищи демон polkitd у меня он в
dpkg -L policykit-1 |grep polkitd
/usr/lib/polkit-1/polkitd
/usr/share/man/man8/polkitd.8.gz

В принципе можно просто найти где он запускается и отрубить его

16 января 2013 г., 12:55 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[StreSS Unk]

О еще одно место нашел:

В настройках "Настройка сессии Razor" отключить Обработчик Policykit

16 января 2013 г., 12:59 пользователь StreSS Unk <stre...@gmail.com> написал:

[TI_Eugene]

Тащем-та polkitd - это не демон.
"DESCRIPTION
       polkitd provides the org.freedesktop.PolicyKit1 D-Bus service on the system message bus. Users or administrators should never need to start this
       daemon as it will be automatically started by dbus-daemon(1) whenever an application calls into the service."

среда, 16 января 2013 г., 12:59:26 UTC+4 пользователь StreSS написал:

[TI_Eugene]

У меня (0.5.2) такого пункта нет.
Возможно потому, что razorqt-polkit-agent тоже нет

среда, 16 января 2013 г., 13:03:57 UTC+4 пользователь StreSS написал:

[StreSS Unk]

А если razorqt-polkit-agent нет то как оно у Вас с суспенд/ребут/шатдаунт уходт? от пользователей обычных...

У меня если razorqt-polkit-agent стоит но убрать его использование везде только иконки завершить сеанс. Остальных нет.

Пруф прикрепляю

16 января 2013 г., 13:06 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[TI_Eugene]

среда, 16 января 2013 г., 13:19:36 UTC+4 пользователь StreSS написал:

А если razorqt-polkit-agent нет то как оно у Вас с суспенд/ребут/шатдаунт уходт? от пользователей обычных...

Примерно так - жжжжжжж - пииууу.... - и замолчал.
:-)

Уходит. И в саспенд, и в гибернейт, и куда угодно.

У меня если razorqt-polkit-agent стоит но убрать его использование везде только иконки завершить сеанс. Остальных нет.

Пруф прикрепляю

Попробуйте 0.5.2

[StreSS Unk]

Так это именно он и был я вот только - только собрал его из исходников

А дайте вывод id username (вашего пользователя) там где тестировали это

В Debian пользователя нельзя управлять питанием, пока не поставишь polkit.

Линк на картинку http://img441.imageshack.us/img441/8494/razorqtpolkit.png

16 января 2013 г., 13:23 пользователь TI_Eugene <ti.e...@gmail.com> написал:

[TI_Eugene]

uid=1000(eugene) gid=100(users) группы=100(users),10(wheel)

может - wheel потому что?
Однако у других юзверей нет wheel - а педали выключить есть

On 16 янв, 13:29, StreSS Unk <stres...@gmail.com> wrote:
> Так это именно он и был я вот только - только собрал его из исходников
> А дайте вывод id username (вашего пользователя) там где тестировали это

No comments

> В Debian пользователя нельзя управлять питанием, пока не поставишь polkit.

http://img515.imageshack.us/img515/725/screenshot5f46ab1e.png

может - kwin виноват? Или kdm
у меня openbox и lightdm соответственно
 
> Линк на картинкуhttp://img441.imageshack.us/img441/8494/razorqtpolkit.png

[Александр Соколов]

Похоже я начал понимать в чем проблема, и почему раньше тетки не могли. Если запускать иксы не через kdm/gdm/lightdm (например через ~/.xinit ), то выключение через upower не работает. Раньше у нас не было выключения через systemd, поэтому и кнопки у пользователей были не активны. А в 0.5.2 добавили systemd (у  Евгения он есть, а в Debian нет). 

16 января 2013 г., 13:29 пользователь StreSS Unk <stre...@gmail.com> написал:

--
Best regards,
Alexander.

[TI_Eugene]

Похоже на правду.
Тем более что в моем случае запускается таки не через DM, а напрямую startrazor.
Так. Кто виноват - примерно понятно.
Остался второй вопрос.

среда, 16 января 2013 г., 13:56:37 UTC+4 пользователь Александр Соколов написал:

[StreSS Unk]

wheel - это оно, вы по сути рут

У меня тоже lightdm но kwin точно не причем.

Я ща порыл в исходниках именно модуль razor-polkit вроде как и регулирует то что будет или не будет отображаться эти кнопки. Но за точно не ручаюсь, может где еще в коде есть что я упустил.

Блин на systemd я быстро не перескачу. Нужно несколько дней.

16 января 2013 г., 13:56 пользователь Александр Соколов <sokol...@gmail.com> написал:

[Александр Соколов]

Да нет, там все проще используются классы ***Provider из libraries/razorqt/razorpower/razorpowerproviders.h

У них всего 2 метода 

   bool canAction(RazorPower::Action action) const; 

   bool doAction(RazorPower::Action action);

Методы тупо дергают dbus-овские метды для UPower/ConsoleKit/systemD и.т.д. Если первый еслвозвращает false, то кнопка прячется.

Есть интересный кусок https://github.com/Razor-qt/razor-qt/blob/master/libraries/razorqt/razorpower/razorpowerproviders.cpp#L235

Похоже для UPower мы проверяем PolicyKit права, а для других нет, но возможно они сами это делают внутри себя.

 

16 января 2013 г., 14:02 пользователь StreSS Unk <stre...@gmail.com> написал:

--
Best regards,
Alexander.

[Александр Соколов]

Нет у меня приличных слов!!! Куда катится этот линух?! В последнем Polkite конфиги на JavaScript, так что с редактором политик можно распрощаться.

Ладно, к делу. Как я уже писал, мы ни как не разделяем локальных и сетевых пользователей, да и вообще в линухе они не различаются. Просто у тебя удачно сложились баг consolekit и твои потребности. Разор спрашивает через D-Bus какие действия доступны, и показывает соответствующие пункты меню. При клике по пункту, без затей дергает соответствующий метод в D-Bus.

Тебе надо запрещать действия через PolicyKit

В Ubunte это делается не сложно, в /etc/polkit-1/localauthority/50-local.d создается файл 40-power.pkla со следующими строками

[Disable org.freedesktop.upower.suspend]

Identity=unix-user:*

Action=org.freedesktop.upower.suspend

ResultAny=no

ResultActive=no

ResultInactive=no

[Disable org.freedesktop.upower.hibernate]

Identity=unix-user:*

Action=org.freedesktop.upower.hibernate

ResultAny=no

ResultActive=no

ResultInactive=no

[Disable org.freedesktop.consolekit.system.restart]

Identity=unix-user:*

Action=org.freedesktop.consolekit.system.restart

ResultAny=no

ResultActive=no

ResultInactive=no

[Disable org.freedesktop.consolekit.system.stop]

Identity=unix-user:*

Action=org.freedesktop.consolekit.system.stop

ResultAny=no

ResultActive=no

ResultInactive=no

В 18 федоре перешли на .rules файлы на JS. Для выключения перезагрузки и пр. через systemd надо создать файл /etc/polkit-1/rules.d/40-power.rules

polkit.addRule(function(action, subject)

{

        if (action.id == "org.freedesktop.login1.suspend"   ||

            action.id == "org.freedesktop.login1.hibernate" ||

            action.id == "org.freedesktop.login1.power-off" ||

            action.id == "org.freedesktop.login1.reboot")

        {

            return polkit.Result.NO;

        }

});

Возможно надо будет добавить условий для UPower и ConsoleKit.

Что там у тебя в 17-й федоре я не знаю, возможно аналогично убунте. Короче разбирайся. 

Да, на последок как проверять, я проверял вначале через qdbusviewer - запустил его в системной шине нашел UPower/ConsoleKit и дергал методы вроде CanReboot. Если возвращают false, значит залочили. А на последок можешь запустить razor-power если на нем нет кнопок, значит все ОК.

   

16 января 2013 г., 14:41 пользователь Александр Соколов <sokol...@gmail.com> написал:

--
Best regards,
Alexander.