Запуск приложения с графическим интерфейсом от имени другого пользователя (не root)

Допустим, у меня есть 2 учетных записи user1и user2. Когда я вхожу в систему как user1, а затем переключаюсь на user2использование su, я могу выполнять программы командной строки, но программы GUI терпят неудачу.

Пример:

user1@laptop:~$ su - user2
user2@laptop:~$ leafpad ~/somefile.txt
No protocol specified
leafpad: Cannot open display: 

Так как я могу запустить приложение с графическим интерфейсом?

Су против Су -

Став другим пользователем, вы обычно хотите использовать su - user2. Черта заставит user2's .bash_profileполучить источник.

Xhost

Кроме того, вам нужно предоставить пользователям доступ к вашему дисплею. Это регулируется X. Вы можете использовать команду, xhost +чтобы разрешить другим пользователям разрешение отображать GUI на рабочем столе пользователя user1.

ПРИМЕЧАНИЕ. Во время работы xhost +вы захотите запустить его, находясь в оболочке, принадлежащей user1.

$ DISPLAY

Когда вы станете user2, вам может потребоваться установить переменную окружения $DISPLAY.

$ export DISPLAY=:0.0

Вам необходимо поделиться токеном аутентификации от пользователя user1 (при условии, что он ~является домом пользователя user1 ):

cat ~/.Xauthority | sudo -u user2 -i tee .Xauthority > /dev/null

Вы можете использовать пересылку X11:

ssh -XY otheruser@localhost your-gui-program-name-here

Вы можете запустить приложение от другого пользователя. Я буду запускать приложение gimp от пользователя user2, во время входа в систему (GUI) с пользователем 1:

$ xhost +
$ sudo su user2

(введите пропуск)

$ gimp

Наслаждаться :)

Вы можете попробовать команду sux:

sux user2

sux будет обрабатывать для вас материал $ DISPLAY. Вам может понадобиться установить его с:

sudo apt-get install sux

под Debian / Ubuntu.

В качестве альтернативы sux, для безопасного запуска графической команды ( firefox-esrв примере ниже), как $AUTHUSER( guestв примере ниже):

AUTHUSER=guest
AUTHSTRING=SI:localuser:${AUTHUSER}
xhost +${AUTHSTRING} > /dev/null
SUDO_ASKPASS=/usr/bin/ssh-askpass
export SUDO_ASKPASS
sudo -k --askpass -u ${AUTHUSER} /usr/bin/firefox-esr
xhost -${AUTHSTRING} > /dev/null
sudo -K

код делает:

1. дает guestпользователю доступ к вашему текущему пользователю $DISPLAYчерезxhost +SI:localuser:guest
2. использование ssh-askpassграфического спрашивать пароль (конечно, вы могли бы использовать , sudoers(5) NOPASSWD:чтобы избежать этого, если ваша политика безопасности считает , что это нормально. Или вы можете использовать другие askpassпрограммы, или указать их в файлах конфигурации (см sudo(8)подробную информацию о --askpass)
3. если пароль в порядке (и у вас есть права доступа sudoers(5)), он запускает команду /usr/bin/firefox-esrот имени другого пользователя ( guest)
4. после завершения программы права доступа другого пользователя ( guest) к вашему $DISPLAYотзываются черезxhost -SI:localuser:guest

5. наконец, sudo -Kудаляет кэшированный пароль, поэтому при следующем вызове ssh-askpassвас снова попросят ввести пароль (вместо использования кэшированного пароля)

   хотя это немного больше работы, чем что gksu(8)либо sux(8), но это может быть написано в сценарии, и это гораздо более безопасно, чем:

   • xhost + (любой пользователь будет иметь доступ к вашему графическому дисплею, пока он действует)
   • Доступно для чтения ~ / .xauth другим пользователям (неограниченный доступ этого пользователя к вашему дисплею)
   • что gksu/ suxделалось (временная копия ~/.Xauthority, которая позволяла указанному пользователю копировать ваш MIT-MAGIC-COOKIE-1и продолжать использовать ваш дисплей даже после завершения gksu / sux (если вы не выключили компьютер или не вышли из дисплея - заставки, спящий режим и т. д. не изменили магию печенье).

поскольку он разрешит доступ к вашему дисплею только одному локальному пользователю, и только в течение всего времени выполнения команды (когда команда $AUTHUSERзавершится , он больше не сможет получить доступ к вашему дисплею).

Другая безопасной альтернативой является ssh -X(без -Yкоторой на самом деле делает вас менее безопасными! См ForwardX11Trustedв ssh_config(5)подробность), как это проще в использовании , если вы не сценарии, но это вызывает additinal накладных расходов (например, он стал медленнее) и некоторые программы могут не работать правильно без небезопасных -Y .

Вам нужно загрузить пользовательский интерфейс установки как user2 .

Попробуйте следовать этому:

Войдите в систему как root :

sudo su

Проверьте сервер x:

xclock

Если вы видите, что часы работают, это хорошо, теперь попробуйте запустить это:

xhost

Результат должен выглядеть так:

xhost SI:localuser:tri
# tri is my user name

Теперь позвольте user2 получить доступ к xhost

xhost +SI:localuser:user2

Теперь попробуйте снова войти в user2 и попробуйте открыть любую из программ GUI.