「Root で X アプリケーションを起動」の版間の差分

提供: ArchWiki
ナビゲーションに移動 検索に移動
(序文を更新)
56行目: 56行目:
 
==== 永続的に root のアクセスを許可 ====
  
==== 永続的に root のアクセスを許可 ====
   
  +
:'''方法 1''': 以下の行を追加します
−
===== 方法 1 =====
  
−  
−
以下の行を {{ic|/etc/pam.d/su}} と {{ic|/etc/pam.d/su-l}} に追加してください:
  
   
 
session optional pam_xauth.so
  
session optional pam_xauth.so
   
−
その後 {{ic|su}} や {{ic|su -}} を使って root ユーザーに切り替えてください。
 +
{{ic|/etc/pam.d/su}} と {{ic|/etc/pam.d/su-l}} の両方に追加してください。その後、{{ic|su}} または {{ic|su -}} を使用して root ユーザーに切り替えます。
  +
  +
:'''方法 2''': グローバルに {{ic|/etc/profile}} で設定
   
  +
以下の行を {{ic|/etc/profile}} に追加します：
−
===== 方法 2 =====
  
   
−
{{ic|/etc/profile}} に以下の行を追加してください:
 +
{{hc|/etc/profile|2=
  +
export XAUTHORITY=/home/''username''/.Xauthority
  +
}}
   
  +
これにより、root が非 root ユーザーの X サーバーに永続的に接続できるようになります。
−
export XAUTHORITY=/home/non-root-usersname/.Xauthority
  
   
  +
または、特定のアプリだけを指定することもできます：
−
上記の設定で root が root 以外のユーザーの X サーバーに永続的に接続できるようになります。
  
   
  +
# XAUTHORITY=/home/''username''/.Xauthority ''appname''
−
あるいは、接続するアプリを指定する場合 (例: kwrite):
  
   
  +
ここで、{{ic|''appname''}} は特定のアプリ名を指します（例: ''kwrite''）。
−
export XAUTHORITY=/home/usersname/.Xauthority kwrite
  
   
 
== Wayland ==
  
== Wayland ==

2024年9月7日 (土) 18:21時点における版

警告: 以下のすべての方法には、ユーザーが注意すべきセキュリティ上の影響があります。GNOME 開発者の Emmanuele Bassi によって 説明 された通りです。
[...] 誰もが root 権限で GUI アプリケーションを実行すべき理由は、*実際には* 技術的に根拠のあるものではありません。管理者権限で GUI アプリケーションを実行することで、監査されていない膨大な量のコードを特権的な権限のもとで実行することになります。また、$HOME 内のファイルにアクセスし、その所有権を変更する可能性があるコードも実行されます。さらに、IPC を介して他のコードとも接続される可能性があります。
これにより、大規模で重大なセキュリティホールが開くことになります [...]。

root 実行の回避

sudoedit

root でファイルを編集するときは sudoedit を使ってください。

GVFS

admin バックエンド の URI を指定することで GVFS 経由で特権が必要なファイルやディレクトリにアクセスできます [1][2]: 

$ nautilus admin:///root/

または: 

$ gedit admin:///etc/fstab
ヒント: 上記の URI はアプリケーションのロケーションバーやファイル選択でも使うことができます。例えば nautilus や gedit なら、Ctrl+l を押してからパスの前に admin:// を付けてください。Other locations サーバーアドレスバーでも同じことが可能です。

Xorg

セキュリティ上の理由で、デフォルトでは root は root 以外のユーザーが起動した X サーバーに接続することができません。必要な場合 root から接続できるようにする方法がいくつか存在します。

こちらのフォーラムの投稿 にあるように、特権で X の GUI アプリを実行するときの適切かつ推奨される方法は Polkit ポリシーを作成することです。ただし、この方法は pkexec(1) に書かれているように古いプログラムでのみ使用するべきです。アプリケーションは特権操作を最小限のコードに委任して、権限が必要なくなったら自動的に権限を消す必要があります [3]。

安全な方法

以下の方法ではアプリケーションは昇格フレームワークにラッピングされ、アプリケーションの終了時に権限も落とされます: 

$ kdesu application

$ sudo application
  • suxAUR (X のログイン情報を転送する su のラッパー)
$ sux root application

他の方法

以下の方法でも root からユーザーの X サーバーに接続することができますが、セキュリティ上の危険性が存在し、特に SSH を動作させている場合は危険です。

Xhost

Xhost を使うことで一時的に root のアクセスを許可できます。

永続的に root のアクセスを許可

方法 1: 以下の行を追加します
session         optional        pam_xauth.so

/etc/pam.d/su と /etc/pam.d/su-l の両方に追加してください。その後、su または su - を使用して root ユーザーに切り替えます。

方法 2: グローバルに /etc/profile で設定

以下の行を /etc/profile に追加します： 

/etc/profile
export XAUTHORITY=/home/username/.Xauthority

これにより、root が非 root ユーザーの X サーバーに永続的に接続できるようになります。

または、特定のアプリだけを指定することもできます： 

# XAUTHORITY=/home/username/.Xauthority appname

ここで、appname は特定のアプリ名を指します（例: kwrite）。

Wayland

Wayland セッションで su, sudo, pkexec を使って root でグラフィカルアプリケーション (例: GParted や Gedit など) を実行しようとした場合、以下のようなエラーが表示されます: 

$ sudo gedit
No protocol specified
Unable to init server: Could not connect: Connection refused

(gedit:2349): Gtk-WARNING **: cannot open display: :0

Wayland 以前では、特権による GUI アプリケーションの実行は Polkit ポリシーを作成して正しく実装するか、あるいはターミナルでコマンドの前に sudo を付けて危なっかしく実行するようになっていましたが、(X)Wayland ではデフォルトでこのようなことはできなくなっています。クライアントの接続を許可されるのは X サーバーを起動したユーザーだけです (バグレポート や [4] [5], [6] を参照)。

#root 実行の回避を見て、できる限りグラフィカルアプリケーションは root で実行しないようにしてください。

また、#xhost を使うことで、あらゆるグラフィカルアプリケーションを root で実行することができます。

xhost を使う

回避策としては xhost を使うことで root ユーザーに対して一時的にローカルユーザーの X セッションへのアクセスを許可できます。非特権ユーザーで以下のコマンドを実行してください [7]: 

$ xhost si:localuser:root

アプリケーションを閉じた後に許可を取り消すには: 

$ xhost -si:localuser:root
「https://wiki.archlinux.jp/index.php?title=Root_で_X_アプリケーションを起動&oldid=38924」から取得