Root で X アプリケーションを起動

警告: 以下の方法は全てセキュリティに影響があるためユーザーは注意する必要があります。GNOME の開発者である Emmanuele Bassi の発言より: "root で GUI アプリケーションを実行しなければならないという理由はありません。技術的な裏付けなどは全くないのです。管理者ユーザーとして GUI アプリケーションを実行するということは文字通り数百万行のコードを特権で動かすということに他なりません。$HOME の中のファイルにアクセスするコードを実行してファイルシステムの所有権を変えることができ、IPC で接続することでさらに別のコードも実行できます。大きなセキュリティホールがぽっかりと空いているわけです [...]"[1]。

グラフィカルアプリケーションを root で実行するのはできるかぎり避けてください。#root 実行の回避を見てください。

root 実行の回避

sudoedit

root でファイルを編集するときは sudoedit を使ってください。

GVFS

admin バックエンドの URI を指定することで GVFS 経由で特権が必要なファイルやディレクトリにアクセスできます [2][3]:

$ nautilus admin:///root/

または:

$ gedit admin:///etc/fstab

ヒント: 上記の URI はアプリケーションのロケーションバーやファイル選択でも使うことができます。例えば nautilus や gedit なら、Ctrl+l を押してからパスの前に admin:// を付けてください。Other locations サーバーアドレスバーでも同じことが可能です。

Xorg

セキュリティ上の理由で、デフォルトでは root は root 以外のユーザーが起動した X サーバーに接続することができません。必要な場合 root から接続できるようにする方法がいくつか存在します。

こちらのフォーラムの投稿にあるように、特権で X の GUI アプリを実行するときの適切かつ推奨される方法は Polkit ポリシーを作成することです。ただし、この方法は pkexec(1) に書かれているように古いプログラムでのみ使用するべきです。アプリケーションは特権操作を最小限のコードに委任して、権限が必要なくなったら自動的に権限を消す必要があります [4]。

安全な方法

以下の方法ではアプリケーションは昇格フレームワークにラッピングされ、アプリケーションの終了時に権限も落とされます:

kdesu (詳しくは kdesu(1) を参照):

$ kdesu application

sudo (正しく設定する必要があります)

$ sudo application

sux^AUR (X のログイン情報を転送する su のラッパー)

$ sux root application

他の方法

以下の方法でも root からユーザーの X サーバーに接続することができますが、セキュリティ上の危険性が存在し、特に SSH を動作させている場合は危険です。

Xhost

Xhost を使うことで一時的に root のアクセスを許可できます。

永続的に root のアクセスを許可

方法 1

以下の行を /etc/pam.d/su と /etc/pam.d/su-l に追加してください:

session         optional        pam_xauth.so

その後 su や su - を使って root ユーザーに切り替えてください。

方法 2

/etc/profile に以下の行を追加してください:

export XAUTHORITY=/home/non-root-usersname/.Xauthority

上記の設定で root が root 以外のユーザーの X サーバーに永続的に接続できるようになります。

あるいは、接続するアプリを指定する場合 (例: kwrite):

export XAUTHORITY=/home/usersname/.Xauthority kwrite

Wayland

Wayland セッションで su, sudo, pkexec を使って root でグラフィカルアプリケーション (例: GParted や Gedit など) を実行しようとした場合、以下のようなエラーが表示されます:

$ sudo gedit
No protocol specified
Unable to init server: Could not connect: Connection refused

(gedit:2349): Gtk-WARNING **: cannot open display: :0

Wayland 以前では、特権による GUI アプリケーションの実行は Polkit ポリシーを作成して正しく実装するか、あるいはターミナルでコマンドの前に sudo を付けて危なっかしく実行するようになっていましたが、(X)Wayland ではデフォルトでこのようなことはできなくなっています。クライアントの接続を許可されるのは X サーバーを起動したユーザーだけです (バグレポートや [5] [6], [7] を参照)。

#root 実行の回避を見て、できる限りグラフィカルアプリケーションは root で実行しないようにしてください。

また、#xhost を使うことで、あらゆるグラフィカルアプリケーションを root で実行することができます。

xhost を使う

回避策としては xhost を使うことで root ユーザーに対して一時的にローカルユーザーの X セッションへのアクセスを許可できます。非特権ユーザーで以下のコマンドを実行してください [8]:

$ xhost si:localuser:root

アプリケーションを閉じた後に許可を取り消すには:

$ xhost -si:localuser:root