Агент Polkit ці агент сакрэтаў: якое акно адсутнічае?

Прачытайце тэкст дыялога, перш чым чапаць якую-небудзь канфігурацыю. Адно акно запытвае паўнамоцтвы змяніць сетку машыны; другое запытвае сакрэт, які патрэбны злучэнню. Яны паходзяць з розных кампанентаў, даюць збой па розных прычынах, і выпраўленне аднаго ніколі не выпраўляе другое. Паведамленне называе, з якім менавіта вы маеце справу.

Пачынайце з гэтага імені, а не з VPN, якое ёсць толькі прычынай, па якой запыталі аперацыю.

Якога акна вам насамрэч не хапае?

Акно мясцовых паўнамоцтваў азначае, што працоўны стол пытаецца, ці можа гэты карыстальнік выканаць прывілеяваную аперацыю. Акно сакрэту азначае, што сховішча злучэнняў патрабуе пароль, фразу-ключ або токен, перш чым можна будзе пабудаваць тунель. На першае адказвае агент аўтэнтыфікацыі ў вашай сесіі; на другое — агент сакрэтаў, да якога можа дабрацца служба кіравання сеткай. Калі паведамленне кажа, што агент аўтэнтыфікацыі не знойдзены, то пароль VPN яшчэ не запытваўся.

Гэтая чарговасць важная, калі вы паведамляеце пра праблему. Кантэкст запуску, запытаная мясцовая аперацыя, вынік аўтарызацыі і любая наступная памылка злучэння — гэта чатыры асобныя факты, і зліццё іх дае справаздачу, з якой ніхто не можа нічога зрабіць.

Агент Polkit жыве ў вашай сесіі

Polkit трымае прывілеяваную сістэмную аперацыю асобна ад звычайнай праграмы, якая яе запытвае, а агент у сесіі карыстальніка прадстаўляе гэтае ўзаемадзеянне. Лёгкі працоўны стол, запускальнік, стартаваны з голай тэрмінала, або сесія, якая страціла свайго агента, могуць пакінуць гэтае ўзаемадзеянне недаступным. Праверце, як была запушчана праграма, перш чым меркаваць, што палітыка няправільная. Сесія толькі з тэкстам патрабуе свайго падтрымліванага агента, а не графічнага, пазычанага з іншага ўваходу.

Капіраванне адрасоў шыны сесіі або зменных дысплея з асяроддзя іншага карыстальніка — не план аўтарызацыі. Гэта стварае сесію, якая выглядае падключанай і ўсё ж не можа правільна адказаць на акно.

Агент сакрэтаў падае іншае

Служба кіравання сеткай запытвае ў агента сакрэтаў уліковыя даныя, якія сама не захоўвае, і агент паказвае гэты запыт карыстальніку. Кліент каманднага радка з уласным інтэрактыўным акном — адзін з такіх агентаў; працоўны стол звычайна падае іншы. Доступнасць сакрэту не дае паўнамоцтваў змяняць сістэмную сетку, а выпраўленне мясцовых паўнамоцтваў не стварае адсутны сакрэт. Аднаму працэсу могуць спатрэбіцца абодва адказы, і заўсёды ў гэтай паслядоўнасці.

Калі акно сакрэту ніколі не з’яўляецца, глядзіце, да якога агента можа дабрацца служба, а не на палітыку polkit.

Адрамантуйце сесію, а не ўзровень прывілеяў

Карыстайцеся падтрымліваным агентам працоўнага стала і інтэграцыяй запуску замест таго, каб запускаць увесь інтэрфейс VPN ад імені root. Выдача кожнаму карыстальніку безумоўнага кіравання сеткай або адключэнне службы аўтарызацыі мяняе адсутнае акно на пастаянную дзірку. На кіраваным абсталяванні адміністратар можа наўмысна патрабаваць зацверджанага аператара, і правільнае выпраўленне — працаваць у межах гэтага рашэння. Праверце прадстаўленне падтрымліваных дазволаў, каб убачыць, што можа запытаць бягучы карыстальнік.

Не ўключайце мясцовы адказ у вынік аўтэнтыфікацыі шлюза; гэта дзве падзеі. Інтэрактыўнае акно сакрэту ў тэрмінале таксама нікога не вызваляе ад палітыкі аўтарызацыі, як бы зручна гэта ні было.

Занясуйце, які агент адказаў, у якой сесіі і што адбылося далей.