Агент Polkit чи агент секретів: якого запиту бракує?

Прочитайте текст діалогу, перш ніж чіпати будь-яку конфігурацію. Один запит вимагає права змінити мережу машини; інший запитує секрет, потрібний з'єднанню. Вони надходять від різних компонентів, зазнають невдачі з різних причин, і виправлення одного ніколи не виправляє інше. Повідомлення називає, з яким саме ви маєте справу.

Починайте з цього імені, а не з VPN, який лише причина, чому операцію було запитано.

Якого запиту вам насправді бракує?

Запит локальної авторизації означає, що робочий стіл питає, чи може цей користувач виконати привілейовану операцію. Запит секрету означає, що сховищу з'єднань потрібен пароль, ключова фраза або токен, перш ніж можна збудувати тунель. На перший відповідає агент автентифікації у вашому сеансі; на другий — агент секретів, до якого може дістатися служба керування мережею. Якщо повідомлення каже, що агента автентифікації не знайдено, пароль VPN ще не запитувався.

Цей порядок важливий, коли ви повідомляєте про проблему. Контекст запуску, запитана локальна операція, результат авторизації та будь-яка подальша помилка з'єднання — це чотири окремі факти, і їх змішування дає звіт, з яким ніхто не може нічого зробити.

Агент Polkit живе у вашому сеансі

Polkit тримає привілейовану системну операцію окремо від звичайної програми, яка її запитує, а агент у сеансі користувача показує цю взаємодію. Легкий робочий стіл, лаунчер, запущений з голого термінала, або сеанс, що втратив свого агента, можуть залишити цю взаємодію недоступною. Перевірте, як було запущено застосунок, перш ніж припускати, що політика неправильна. Сеансу лише з текстом потрібен власний підтримуваний агент, а не графічний, позичений з іншого входу.

Копіювання адрес шини сеансу або змінних екрана з середовища іншого користувача — не план авторизації. Це створює сеанс, який виглядає під'єднаним і все одно не може правильно відповісти на запит.

Агент секретів надає інше

Служба керування мережею запитує в агента секретів облікові дані, які сама не зберігає, і агент показує цей запит користувачеві. Клієнт командного рядка з власним інтерактивним запитом — один із таких агентів; оболонка робочого столу зазвичай надає інший. Доступність секрету не дає права змінювати системну мережу, а виправлення локальної авторизації не створює відсутніх облікових даних. Одному робочому процесу можуть знадобитися обидві відповіді, і завжди в цій послідовності.

Якщо запит секрету ніколи не з'являється, дивіться, до якого агента може дістатися служба, а не на політику polkit.

Виправте сеанс, а не рівень привілеїв

Використовуйте підтримуваний агент робочого столу та інтеграцію запуску, замість того щоб запускати весь інтерфейс VPN від імені root. Надання кожному користувачеві безумовного керування мережею або вимкнення служби авторизації міняє відсутній запит на постійну діру. На керованому обладнанні адміністратор може навмисно вимагати затвердженого оператора, і правильне виправлення — працювати в межах цього рішення. Перегляньте подання підтримуваних дозволів, щоб побачити, що може запитати поточний користувач.

Не змішуйте локальну відповідь із результатом автентифікації шлюзу; це дві події. Інтерактивний запит секрету в терміналі теж нікого не звільняє від політики авторизації, хоч би як зручно це виглядало.

Запишіть, який агент відповів, у якому сеансі і що сталося далі.