Polkit - 版の履歴

Oech3: 同期/* グローバル */

2025-12-19T06:03:56Z

同期グローバル

← 古い版		2025年12月19日 (金) 15:03時点における版
224行目:		224行目:
	上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。		上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。

			また、認可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。
	また、認可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、認可はプロセス毎なので、新しいプロセスが5分以内に認可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。特に、{{ic\|run0}}や{{ic\|pkexec}}は{{ic\|sudo}}のように認可をキープしません。しかし、それは将来可能になるかも知れません ( https://github.com/polkit-org/polkit/pull/533 ).

			特に、{{ic\|run0}}はpolkit 127以降で認可をデフォルトで保持します。

	==== 特定のアクション ====		==== 特定のアクション ====

Oech3: AUTH_ADMIN_KEEP,run0についてコメント/* グローバル */

2025-04-01T11:56:51Z

AUTH_ADMIN_KEEP,run0についてコメントグローバル

← 古い版		2025年4月1日 (火) 20:56時点における版
224行目:		224行目:
	上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。		上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。

	また、認可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、認可はプロセス毎なので、新しいプロセスが5分以内に認可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。		また、認可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、認可はプロセス毎なので、新しいプロセスが5分以内に認可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。特に、{{ic\|run0}}や{{ic\|pkexec}}は{{ic\|sudo}}のように認可をキープしません。しかし、それは将来可能になるかも知れません ( https://github.com/polkit-org/polkit/pull/533 ).

	==== 特定のアクション ====		==== 特定のアクション ====

AshMyzk: 同期

2024-10-23T07:10:19Z

同期

差分を表示

Kusanaginoturugi: 校正（でき・出来）

2024-07-10T11:07:24Z

校正（でき・出来）

← 古い版		2024年7月10日 (水) 20:07時点における版
55行目:		55行目:
	Polkit は Linux にある既存のパーミッションシステム (グループメンバーシップ、アドミニストレータステータス) の上で動作し、それらを置き換えるものではありません。.rules ファイルはユーザーのサブセットを指定して、アクションファイルで指定されているアクションのどれか一つ (または複数) を参照して、そのユーザーによるアクションにどのような制限をかけるか決定します。例を上げると、rules ファイルを使うことにより、GParted を使用する際に全ユーザが管理者として認証するというデフォルトの要件を上書きし、一部の特定のユーザに対しては認証を不要にできます。また別の例として、特定のユーザの GParted の使用を一切禁止することができます。		Polkit は Linux にある既存のパーミッションシステム (グループメンバーシップ、アドミニストレータステータス) の上で動作し、それらを置き換えるものではありません。.rules ファイルはユーザーのサブセットを指定して、アクションファイルで指定されているアクションのどれか一つ (または複数) を参照して、そのユーザーによるアクションにどのような制限をかけるか決定します。例を上げると、rules ファイルを使うことにより、GParted を使用する際に全ユーザが管理者として認証するというデフォルトの要件を上書きし、一部の特定のユーザに対しては認証を不要にできます。また別の例として、特定のユーザの GParted の使用を一切禁止することができます。

	{{Note\|ユーザに GParted のアクションを使えないようにする例では、polkit に判断を求めない、コマンドラインなどの方法を使って GParted を動かすことが可能です。したがって、(準)特権ユーザの権限を減らすのに使うのよりも、特権がないユーザが特権サービスにアクセス出来るように権限を拡張するのに polkit を使ったほうが良いでしょう。セキュリティ目的で使うなら、[[Sudo\|sudoers ファイル]]の方が適しています。}}		{{Note\|ユーザに GParted のアクションを使えないようにする例では、polkit に判断を求めない、コマンドラインなどの方法を使って GParted を動かすことが可能です。したがって、(準)特権ユーザの権限を減らすのに使うのよりも、特権がないユーザが特権サービスにアクセスできるように権限を拡張するのに polkit を使ったほうが良いでしょう。セキュリティ目的で使うなら、[[Sudo\|sudoers ファイル]]の方が適しています。}}

	=== アクション ===		=== アクション ===

AshMyzk: /* パスワードプロンプトの迂回 */ 修正

2023-03-24T01:19:02Z

パスワードプロンプトの迂回: 修正

← 古い版		2023年3月24日 (金) 10:19時点における版
174行目:		174行目:
	=== パスワードプロンプトの迂回 ===		=== パスワードプロンプトの迂回 ===

	[[sudo]] の {{ic\|NOPASSWD}} オプションのように[[ユーザーとグループ\|ユーザー/グループ]]だけによる認証をしたい場合、{{ic\|/etc/polkit-1/rules.d/}} にカスタムルールを作って下さい。[[#特定のアクション\|特定のアクション]]または[[#グローバル\|グローバル]]でのパスワード認証を上書きすることができます。ルールセットの例は [https://gist.github.com/4013294/ccacedd69d54de7f2fd5881b546d5192d6a2bddb] を見て下さい。		[[sudo]] の {{ic\|NOPASSWD}} オプションのように[[ユーザーとグループ\|ユーザー/グループ]]だけに基づいて認可をしたい場合、{{ic\|/etc/polkit-1/rules.d/}} にカスタムルールを作って下さい。[[#特定のアクション\|特定のアクション]]または[[#グローバル\|グローバル]]でのパスワード認証を上書きすることができます。ルールセットの例は [https://gist.github.com/4013294/ccacedd69d54de7f2fd5881b546d5192d6a2bddb] を見て下さい。

	==== グローバル ====		==== グローバル ====

AshMyzk: /* アクション */ 修正

2023-03-24T01:17:00Z

アクション: 修正

← 古い版		2023年3月24日 (金) 10:17時点における版
99行目:		99行目:
	* ''auth_self'': 認証が必要ですが管理者ユーザである必要はありません。		* ''auth_self'': 認証が必要ですが管理者ユーザである必要はありません。
	* ''auth_admin'': 管理者ユーザーとしての認証が必須です。		* ''auth_admin'': 管理者ユーザーとしての認証が必須です。
	* ''auth_self_keep'': auth_self と同じですが、sudo と同じように、認証の効力は数分間しか続きません。		* ''auth_self_keep'': auth_self と同じですが、sudo と同じように、認可の効力は数分間しか続きません。
	* ''auth_admin_keep'': auth_admin と同じですが、sudo と同じように、認証の効力は数分間しか続きません。		* ''auth_admin_keep'': auth_admin と同じですが、sudo と同じように、認可の効力は数分間しか続きません。
	以上がデフォルト設定であり、後の設定で覆されないかぎり、全てのユーザに対して有効です。		以上がデフォルト設定であり、後の設定で覆されないかぎり、全てのユーザに対して有効です。

AshMyzk: 訳を修正

2023-03-24T01:15:31Z

訳を修正

← 古い版		2023年3月24日 (金) 10:15時点における版
49行目:		49行目:
	Polkit の定義は2種類に分けることができます:		Polkit の定義は2種類に分けることができます:
	* '''アクション''' (Action) は {{ic\|/usr/share/polkit-1/actions}} 内に XML の {{ic\|.policy}} ファイルで定義されます。各アクションにはデフォルトのパーミッションがあります (例: GParted のアクションを使うには管理者として認証する必要があります)。デフォルトは上書きできますが、デフォルトのアクションファイルを編集するのは正しい方法ではありません。		* '''アクション''' (Action) は {{ic\|/usr/share/polkit-1/actions}} 内に XML の {{ic\|.policy}} ファイルで定義されます。各アクションにはデフォルトのパーミッションがあります (例: GParted のアクションを使うには管理者として認証する必要があります)。デフォルトは上書きできますが、デフォルトのアクションファイルを編集するのは正しい方法ではありません。
	* '''許可ルール''' (Authorization rule) は JavaScript の {{ic\|.rules}} ファイルで定義されます。このルールは2つの場所に置かれます:		* '''認可ルール''' (Authorization rule) は JavaScript の {{ic\|.rules}} ファイルで定義されます。このルールは2つの場所に置かれます:
	** サードパーティのパッケージは {{ic\|/usr/share/polkit-1/rules.d}} を使用できます (あるとしても少数ですが)。		** サードパーティのパッケージは {{ic\|/usr/share/polkit-1/rules.d}} を使用できます (あるとしても少数ですが)。
	** {{ic\|/etc/polkit-1/rules.d}} はローカル設定用です。		** {{ic\|/etc/polkit-1/rules.d}} はローカル設定用です。
105行目:		105行目:
	GParted のアクションからわかるように、GParted を使用するには管理者としての認証を求められ、それはセッションがアクティブかそうでないかによりません。		GParted のアクションからわかるように、GParted を使用するには管理者としての認証を求められ、それはセッションがアクティブかそうでないかによりません。

	=== 許可ルール ===		=== 認可ルール ===

	デフォルトの設定をオーバーライドする許可ルールは、(「設定」セクションの冒頭に書かれた) 上記のディレクトリ内に置かれます。単一システムの個人設定に関連する用途の場合は、{{ic\|/etc/polkit-1/rules.d}} のみを使用するべきです。		デフォルトの設定をオーバーライドする認可ルールは、(「設定」セクションの冒頭に書かれた) 上記のディレクトリ内に置かれます。単一システムの個人設定に関連する用途の場合は、{{ic\|/etc/polkit-1/rules.d}} のみを使用するべきです。

	{{ic\|addRule()}} メソッドは、アクションと動作主体の許可チェックが行われる時に呼ばれる関数を追加するために使用されます。関数は、追加された順番で呼ばれ、それらの関数のうち1つが値を返すまでその順に呼ばれ続けます。したがって、他のルールより先に処理される許可ルールを追加するには、そのルールを {{ic\|/etc/polkit-1/rules.d}} 内のファイルに置き、名前順で他のルールよりも前に来る名前を付けてください (例: {{ic\|00-early-checks.rules}})。		{{ic\|addRule()}} メソッドは、アクションと動作主体の認可チェックが行われる時に呼ばれる関数を追加するために使用されます。関数は、追加された順番で呼ばれ、それらの関数のうち1つが値を返すまでその順に呼ばれ続けます。したがって、他のルールより先に処理される認可ルールを追加するには、そのルールを {{ic\|/etc/polkit-1/rules.d}} 内のファイルに置き、名前順で他のルールよりも前に来る名前を付けてください (例: {{ic\|00-early-checks.rules}})。

	.rules ファイルの構造は一目瞭然です:		.rules ファイルの構造は一目瞭然です:
124行目:		124行目:
	=== 管理者の識別 ===		=== 管理者の識別 ===

	{{ic\|addAdminRule()}} メソッドは、管理者認証が要求された時に呼ばれる関数を追加するために使用されます。(追加する) 関数は、アクションや動作主体によって識別される許可チェックの管理者認証にどの識別子を使用するかを指定するために使用されます。追加された関数は、追加された順番で呼ばれ、それらの関数のうち1つが値を返すまでその順に呼ばれ続けます。		{{ic\|addAdminRule()}} メソッドは、管理者認証が要求された時に呼ばれる関数を追加するために使用されます。(追加する) 関数は、アクションや動作主体によって識別される認可チェックの管理者認証にどの識別子を使用するかを指定するために使用されます。追加された関数は、追加された順番で呼ばれ、それらの関数のうち1つが値を返すまでその順に呼ばれ続けます。

	管理者識別子のデフォルトの設定は、{{ic\|50-default.rules}} ファイルに含まれています。なので、この設定に対する如何なる変更も、そのファイルを (例えば {{ic\|40-default.rules}} などに) コピーし、コピー先のファイルを編集することによって行うべきです。		管理者識別子のデフォルトの設定は、{{ic\|50-default.rules}} ファイルに含まれています。なので、この設定に対する如何なる変更も、そのファイルを (例えば {{ic\|40-default.rules}} などに) コピーし、コピー先のファイルを編集することによって行うべきです。
194行目:		194行目:
	上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。		上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。

	また、許可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、許可はプロセス毎なので、新しいプロセスが5分以内に許可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。		また、認可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、認可はプロセス毎なので、新しいプロセスが5分以内に認可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。

	==== 特定のアクション ====		==== 特定のアクション ====

AshMyzk: /* 設定 */ 修正

2023-03-24T01:10:44Z

設定: 修正

← 古い版		2023年3月24日 (金) 10:10時点における版
48行目:		48行目:

	Polkit の定義は2種類に分けることができます:		Polkit の定義は2種類に分けることができます:
	* '''アクション''' (Action) は {{ic\|/usr/share/polkit-1/actions}} 内に XML の {{ic\|.policy}} ファイルで定義されます。各アクションにはデフォルトのパーミッションがあります (例: GParted のアクションを使うには管理者として認証する必要があります)。デフォルトは上書きできますが、アクションファイルを編集するのは正しい方法ではありません。		* '''アクション''' (Action) は {{ic\|/usr/share/polkit-1/actions}} 内に XML の {{ic\|.policy}} ファイルで定義されます。各アクションにはデフォルトのパーミッションがあります (例: GParted のアクションを使うには管理者として認証する必要があります)。デフォルトは上書きできますが、デフォルトのアクションファイルを編集するのは正しい方法ではありません。
	* '''許可ルール''' (Authorization rule) は JavaScript の {{ic\|.rules}} ファイルで定義されます。このルールは2つの場所に置かれます:		* '''許可ルール''' (Authorization rule) は JavaScript の {{ic\|.rules}} ファイルで定義されます。このルールは2つの場所に置かれます:
	** サードパーティのパッケージは {{ic\|/usr/share/polkit-1/rules.d}} を使用できます (あるとしても少数ですが)。		** サードパーティのパッケージは {{ic\|/usr/share/polkit-1/rules.d}} を使用できます (あるとしても少数ですが)。

AshMyzk: TranslationStatus

2023-03-24T01:07:53Z

TranslationStatus

← 古い版		2023年3月24日 (金) 10:07時点における版
242行目:		242行目:
	* [https://www.freedesktop.org/software/polkit/docs/latest/polkit.8.html Polkit マニュアルページ]		* [https://www.freedesktop.org/software/polkit/docs/latest/polkit.8.html Polkit マニュアルページ]
	* [https://doc.opensuse.org/documentation/leap/security/html/book-security/cha-security-policykit.html Authorization with PolKit] (openSUSE Leap Security guide)		* [https://doc.opensuse.org/documentation/leap/security/html/book-security/cha-security-policykit.html Authorization with PolKit] (openSUSE Leap Security guide)

			{{TranslationStatus\|Polkit\|2023-03-24\|773496}}

AshMyzk: /* サンプル */ 同期

2023-03-24T01:06:47Z

サンプル: 同期

← 古い版		2023年3月24日 (金) 10:06時点における版
174行目:		174行目:
	=== パスワードプロンプトの迂回 ===		=== パスワードプロンプトの迂回 ===

	[[sudo]] の {{ic\|NOPASSWD}} オプションのように[[ユーザーとグループ\|ユーザー/グループ]]による認証だけをしたい場合、{{ic\|/etc/polkit-1/rules.d/}} にカスタムルールを作って下さい。[[#特定のアクション\|特定のアクション]]または[[#グローバル\|グローバル]]でのパスワード認証を上書きすることができます。ルールセットの例は [https://gist.github.com/4013294/ccacedd69d54de7f2fd5881b546d5192d6a2bddb] を見て下さい。		[[sudo]] の {{ic\|NOPASSWD}} オプションのように[[ユーザーとグループ\|ユーザー/グループ]]だけによる認証をしたい場合、{{ic\|/etc/polkit-1/rules.d/}} にカスタムルールを作って下さい。[[#特定のアクション\|特定のアクション]]または[[#グローバル\|グローバル]]でのパスワード認証を上書きすることができます。ルールセットの例は [https://gist.github.com/4013294/ccacedd69d54de7f2fd5881b546d5192d6a2bddb] を見て下さい。

	==== グローバル ====		==== グローバル ====

	root で以下のファイルを作成:		root として以下のファイルを作成:
	{{hc\|/etc/polkit-1/rules.d/49-nopasswd_global.rules\|		{{hc\|/etc/polkit-1/rules.d/49-nopasswd_global.rules\|
	/* Allow members of the wheel group to execute any actions		/* Allow members of the wheel group to execute any actions
192行目:		192行目:
	{{ic\|wheel}} は別のグループに置き換えることができます。		{{ic\|wheel}} は別のグループに置き換えることができます。

	上記を設定すると Polkit によって管理者権限を要求するアクションがすべて自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。		上記を設定すると Polkit によって管理者権限を要求するアクションが'''すべて'''自動的に認証されます。そのため、権限を与えるグループは注意して選ぶようにしてください。

			また、許可を5分間キープできるようにする {{ic\|AUTH_ADMIN_KEEP}} もあります。しかし、許可はプロセス毎なので、新しいプロセスが5分以内に許可を要求してきた場合、その新しいプロセスはいずれにせよパスワードを要求してきます。

	==== 特定のアクション ====		==== 特定のアクション ====

	root で以下のファイルを作成:		root として以下のファイルを作成:
	{{hc\|/etc/polkit-1/rules.d/49-nopasswd_limited.rules\|<nowiki>		{{hc\|/etc/polkit-1/rules.d/49-nopasswd_limited.rules\|<nowiki>
	/* Allow members of the wheel group to execute the defined actions		/* Allow members of the wheel group to execute the defined actions
202行目:		204行目:
	*/		*/
	polkit.addRule(function(action, subject) {		polkit.addRule(function(action, subject) {
	if ((action.id == "org.~~archlinux.pkexec~~.gparted" \|\|		if ((action.id == "org.gnome.gparted" \|\|
	action.id == "org.libvirt.unix.manage") &&		action.id == "org.libvirt.unix.manage") &&
	subject.isInGroup("wheel"))		subject.isInGroup("wheel"))
212行目:		214行目:

	上記のファイルでは例として {{ic\|action.id}} が GParted と [[Libvirt]] の場合を載せていますが、パッケージに含まれているものや自分で作成したルールを自由に設定することができます。また、{{ic\|wheel}} 以外のグループを設定することも可能です。		上記のファイルでは例として {{ic\|action.id}} が GParted と [[Libvirt]] の場合を載せていますが、パッケージに含まれているものや自分で作成したルールを自由に設定することができます。また、{{ic\|wheel}} 以外のグループを設定することも可能です。

			{{ic\|<nowiki>\|\|</nowiki>}} 演算子はアクションを区切る (論理 OR) ために使用されており、{{ic\|&&}} は論理 AND を意味し、最後の演算子として残して置かなければなりません。

	==== Udisks ====		==== Udisks ====

	ストレージデバイスをマウントするときに[[~~ファイルマネージャの機能\|~~ファイルマネージャ]]がパスワードを要求することがあります。入力しないと ''Not authorized'' などのエラーが表示されます。詳しくは [[Udisks#設定]] を見て下さい。		ストレージデバイスをマウントするときに[[ファイルマネージャ]]がパスワードを要求することがあります。入力しないと ''Not authorized'' などのエラーが表示されます。詳しくは [[Udisks#設定]] を見て下さい。

	=== 通常ユーザーに systemd ユニットの管理を許可 ===		=== 通常ユーザーに個々の systemd ユニットの管理を許可 ===

	polkit のポリシーチェックに渡される値をチェックすることで、特定のユニットを管理する権限をユーザーやグループに与えることができます。例えば、標準ユーザーに [[wpa_supplicant]] を起動・停止する権限を与えたい場合:		polkit のポリシーチェックに渡される値をチェックすることで、特定のユニットを管理する権限をユーザーやグループに与えることができます。例えば、標準ユーザーに [[wpa_supplicant]] を起動・停止する権限を与えたい場合: