Agent Polkit czy agent sekretów: którego okna brakuje?

Przeczytaj tekst okna, zanim dotkniesz jakiejkolwiek konfiguracji. Jedno okno prosi o uprawnienie do zmiany sieci maszyny; drugie prosi o sekret, którego potrzebuje połączenie. Pochodzą z różnych komponentów, zawodzą z różnych powodów, a naprawa jednego nigdy nie naprawia drugiego. Komunikat nazywa to, z którym masz do czynienia.

Zacznij od tej nazwy, a nie od VPN, który jest tylko powodem zgłoszenia operacji.

Którego okna naprawdę ci brakuje?

Okno lokalnego uprawnienia oznacza, że pulpit pyta, czy ten użytkownik może wykonać uprzywilejowaną operację. Okno sekretu oznacza, że magazyn połączeń potrzebuje hasła, frazy klucza lub tokenu, zanim można zbudować tunel. Na pierwsze odpowiada agent uwierzytelniania w twojej sesji; na drugie agent sekretów, do którego dociera usługa zarządzania siecią. Jeśli komunikat mówi, że nie znaleziono agenta uwierzytelniania, to hasło VPN nie zostało jeszcze poproszone.

Ta kolejność ma znaczenie, gdy zgłaszasz problem. Kontekst uruchomienia, żądana operacja lokalna, wynik autoryzacji i każdy późniejszy błąd połączenia to cztery osobne fakty, a ich scalenie daje raport, z którym nikt nie może nic zrobić.

Agent Polkit mieszka w twojej sesji

Polkit trzyma uprzywilejowaną operację systemową z dala od zwykłego programu, który o nią prosi, a agent w sesji użytkownika prezentuje tę interakcję. Lekki pulpit, launcher uruchomiony z gołego terminala lub sesja, która straciła agenta, mogą pozostawić tę interakcję niedostępną. Sprawdź, jak uruchomiono aplikację, zanim uznasz, że polityka jest błędna. Sesja tylko tekstowa potrzebuje własnego obsługiwanego agenta, a nie graficznego pożyczonego z innego logowania.

Kopiowanie adresów magistrali sesji lub zmiennych ekranu ze środowiska innego użytkownika nie jest planem autoryzacji. To daje sesję, która wygląda na połączoną i nadal nie potrafi poprawnie odpowiedzieć na okno.

Agent sekretów dostarcza coś innego

Usługa zarządzania siecią prosi agenta sekretów o dane, których sama nie przechowuje, a agent pokazuje to żądanie użytkownikowi. Klient wiersza poleceń z własnym oknem interaktywnym jest jednym z takich agentów; powłoka pulpitu zwykle dostarcza innego. Udostępnienie sekretu nie daje uprawnienia do zmiany sieci systemowej, a naprawa lokalnej autoryzacji nie tworzy brakujących danych. Jeden przepływ pracy może potrzebować obu odpowiedzi, i to zawsze w tej kolejności.

Jeśli okno sekretu nigdy się nie pojawia, patrz, do którego agenta dociera usługa, a nie na politykę polkit.

Napraw sesję, nie poziom uprawnień

Używaj obsługiwanego agenta pulpitu i integracji startowej, zamiast uruchamiać cały interfejs VPN jako root. Danie każdemu użytkownikowi bezwarunkowej administracji siecią albo wyłączenie usługi autoryzacji zamienia brakujące okno na trwałą dziurę. Na zarządzanym sprzęcie administrator może celowo wymagać zatwierdzonego operatora, a właściwą naprawą jest praca w ramach tej decyzji. Sprawdź widok obsługiwanych uprawnień, aby zobaczyć, o co może prosić bieżący użytkownik.

Nie łącz lokalnej odpowiedzi z wynikiem uwierzytelniania bramy; to dwa zdarzenia. Interaktywne okno sekretu w terminalu też nikogo nie zwalnia z polityki autoryzacji, choćby wydawało się wygodne.

Zapisz, który agent odpowiedział, w której sesji i co stało się potem.