Agent de Polkit o agent secret: quin avís falta?

Llegiu el text del diàleg abans de tocar cap configuració. Un avís demana autoritat per canviar la xarxa de la màquina; l’altre demana el secret que necessita una connexió. Venen de components diferents, fallen per motius diferents, i arreglar-ne un no arregla mai l’altre. El missatge indica amb quin dels dos teniu tracte.

Comenceu per aquest nom i no per la VPN, que només és el motiu pel qual es va demanar l’operació.

Quin avís us falta realment?

Un avís d’autorització local vol dir que l’escriptori pregunta si aquest usuari pot fer una operació privilegiada. Un avís de secret vol dir que el magatzem de connexions necessita una contrasenya, una contrasenya de clau o un testimoni abans que es pugui construir el túnel. El primer el respon un agent d’autenticació de la vostra sessió; el segon, un agent secret al qual pot arribar el servei de gestió de xarxa. Si el missatge diu que no s’ha trobat cap agent d’autenticació, encara no s’ha demanat cap contrasenya de VPN.

Aquest ordre importa quan informeu del problema. El context de llançament, l’operació local sol·licitada, el resultat de l’autorització i qualsevol error de connexió posterior són quatre fets separats, i ajuntar-los produeix un informe sobre el qual ningú pot actuar.

L’agent de Polkit viu a la vostra sessió

Polkit manté una operació privilegiada del sistema separada del programa ordinari que la demana, i un agent a la sessió de l’usuari presenta aquesta interacció. Un escriptori lleuger, un llançador iniciat des d’un terminal nu o una sessió que ha perdut l’agent poden deixar aquesta interacció no disponible. Comproveu com s’ha iniciat l’aplicació abans de suposar que la política és incorrecta. Una sessió només de text necessita el seu propi agent admès, no un de gràfic manllevat d’un altre inici de sessió.

Copiar adreces del bus de sessió o variables de pantalla de l’entorn d’un altre usuari no és un pla d’autorització. Produeix una sessió que sembla connectada i que encara no pot respondre correctament a l’avís.

L’agent secret forneix una cosa diferent

El servei de gestió de xarxa demana a un agent secret credencials que no emmagatzema, i l’agent mostra aquesta petició a l’usuari. Un client de línia d’ordres amb el seu propi avís interactiu és un agent d’aquest tipus; l’escriptori normalment en forneix un altre. Posar un secret a disposició no atorga autoritat per modificar la xarxa del sistema, i reparar l’autorització local no crea una credencial que falta. Un flux de treball pot necessitar les dues respostes, i sempre en aquest ordre.

Si l’avís del secret no apareix mai, mireu a quin agent pot arribar el servei i no la política de polkit.

Repareu la sessió, no el nivell de privilegi

Utilitzeu l’agent admès de l’escriptori i la integració d’engegada en lloc d’executar tota la interfície de la VPN com a root. Concedir a tots els usuaris administració de xarxa incondicional, o desactivar el servei d’autorització, canvia un avís que falta per un forat permanent. En equip gestionat, l’administrador pot exigir deliberadament un operador aprovat, i la solució correcta és treballar dins d’aquesta decisió. Consulteu la vista de permisos admesos per veure què pot sol·licitar l’usuari actual.

No incorporeu la resposta local al resultat d’autenticació de la passarel·la; són dos esdeveniments. Un avís interactiu de secret en un terminal tampoc no eximeix ningú de la política d’autorització, per convenient que sembli.

Registreu quin agent ha respost, en quina sessió, i què ha passat després.