［提问］桌面环境多用户授权的問題

[highwind]

問題1：桌面环境（ＤＥ）的安装为何需要管理员权限？
（是因为软件包管理的問題，还是套件中的组建需要读写系统文件？）

問題2：有哪些桌面环境（ＤＥ）的安装是不需要管理员权限的？

問題3：桌面环境安装可否绕过管理员，怎么做？

[poloshiao]

參閱
http://www.admin-magazine.com/Articles/ ... -PolicyKit

以前
sudo gksudo kdesudo
http://manpages.ubuntu.com/manpages/tru ... udo.8.html
http://manpages.ubuntu.com/manpages/tru ... udo.1.html

由
PolicyKit 簡稱 Polkit
取代
進行中
http://manpages.ubuntu.com/manpages/luc ... Kit.8.html
http://manpages.ubuntu.com/manpages/tru ... kit.8.html
http://manpages.ubuntu.com/manpages/tru ... xec.1.html

[highwind]

參閱
http://www.admin-magazine.com/Articles/ ... -PolicyKit

以前
sudo gksudo kdesudo
http://manpages.ubuntu.com/manpages/tru ... udo.8.html
http://manpages.ubuntu.com/manpages/tru ... udo.1.html

由
PolicyKit 簡稱 Polkit
取代
進行中
http://manpages.ubuntu.com/manpages/luc ... Kit.8.html
http://manpages.ubuntu.com/manpages/tru ... kit.8.html
http://manpages.ubuntu.com/manpages/tru ... xec.1.html

@poloshiao 要不是我理解有问题，就是您的这个答案有点答非所问了哦。

[highwind]

或者 也不能说完全答非所问，只是@poloshiao，sudo给用户的权限会不会稍微偏大了一些呢？

[highwind]

Linux still lacks a granular permissions system. For cases in which administrators want to allow access to command-line programs, it is especially a good idea to look into alternative techniques, such as Access Control Lists (ACLs).

好吧，还是非常感谢@poloshiao了。

[poloshiao]

問題1：桌面环境（ＤＥ）的安装为何需要管理员权限？
（是因为软件包管理的問題，还是套件中的组建需要读写系统文件？）

可能兩者都有

問題2：有哪些桌面环境（ＤＥ）的安装是不需要管理员权限的？

要看 deb 檔案 打包者的安排

問題3：桌面环境安装可否绕过管理员，怎么做？

您的这个答案有点答非所问了哦

補充說明
1. 文字環境 console envitonments tty1 ~ tty6
可以簡單看
http://linux.vbird.org/linux_basic/0210 ... ission.php
https://help.ubuntu.com/community/FilePermissions
2. 圖形環境 tty7 ~ tty12 比較複雜
可以參考
viewtopic.php?p=3089713#p3089713
3. 在 Ubuntu 特別是 圖形環境
預設是 禁止 root 登入 而是 鼓勵使用 sudo / gksudo / pkexec
特別是 圖形桌面進程 不建議 使用 root 登入 安裝 / 升級 / 設定
否則 會碰到許多 疑難雜症
3-1. 許多從別的 Linux 發行版 或 Windows 轉來的使用者 喜歡使用 root 登入
這個習慣 也造成他們對於 Ubuntu 印象欠佳的印象
因為 處處碰到無法理解的麻煩與問題

it is especially a good idea to look into alternative techniques, such as Access Control Lists (ACLs).

4. Linux 系統 早就有 ACL 機制 只是 威力太大 (或者說 太細節了) 還沒輪到它上陣
讓 Linux Servers 的 進階管理人員去挖掘吧
參閱
https://help.ubuntu.com/community/FilePermissionsACLs
https://help.ubuntu.com/community/UbuntuLTSP/ACLSupport
https://help.ubuntu.com/community/Kerberos
https://wiki.ubuntu.com/ACL-OnByDefault
使用 acl 搜尋

[highwind]

继续建楼，那其实如果不是精心设置过sudoers文件的话（即ALL命令都给了sudo用户的话），
任意一个sudo用戶都可以重新改变sudoers文件，可能会干扰侵犯到别的用戶，即使每个用戶的文件都已经有各自的权限了，是这样吗？
好比虽然用戶Ａ的文件Ａ 可读写执行都归Ａ，但是用戶Ｂ仍然可以使用sudo来改写文件Ａ，（因为sudoers文件里给用戶Ｂ分配的是ALL的执行权利）。

－－－－－仍在思考中－－－－－

[poloshiao]

任意一个sudo用戶都可以重新改变sudoers文件，可能会干扰侵犯到别的用戶，即使每个用戶的文件都已经有各自的权限了，是这样吗？

1. 同一群組 例如 %sudo 群組 權限相同
https://help.ubuntu.com/community/RootSudo
2. 你可以自行在 /etc/sudoers (記得使用 sudo visudo)
產生新的 %mygroupname 群組
給與你希望給予的權限
詳細權限參閱
http://manpages.ubuntu.com/manpages/luc ... ers.5.html
然後 把使用者 加入這個 %mygroupname 群組
它就擁有該 %mygroupname 群組的權限

[highwind]

@poloshiao，第一篇学了不少，不过第二篇看的比较头大，
简单点说把，就是如果两个人都在sudo组群里的话，是不是就等于提供了给对方修改自己文件的机会了？

[poloshiao]

如果两个人都在sudo组群里的话，是不是就等于提供了给对方修改自己文件的机会了？

對 如果知道如何修改 ownship 的話

[highwind]

＠poloshiao ,非常感谢您的解答，
1. 我想再进一步，可否讨论讨论如何写出一份sudoer文件示例？
用戶：UserA, UserB
权限：UserA, UserB都可以安装删除程序，但是各自/home/userX下文件不可交叉读r写w
关键在于允许运行apt－get/dpkg去安装包但是又不允许chmod？（应该不止这一个命令吧？），
但是不是又变得没有意义了，因为如果有个用戶故意装一个chmod类似的软件的话。。。
有点迷迷糊糊了開始，＠adagio 我也短路了。。。


2.回到最先的主题，假如从源码编译ＤＥ是不是可以实现用戶自己运行各自的ＤＥ而不影响系統文件？
（如果有，可否提供一些入门的链接，謝謝。
因为

圖形環境 tty7 ~ tty12 比較複雜
可以參考
viewtopic.php?p=3089713#p3089713

這裡的链接似乎不对？ ^^）

[poloshiao]

可否讨论讨论如何写出一份sudoer文件示例？
用戶：UserA, UserB
权限：UserA, UserB都可以安装删除程序，但是各自/home/userX下文件不可交叉读r写w
关键在于允许运行apt－get/dpkg去安装包但是又不允许chmod？（应该不止这一个命令吧？），

不需動到 /etc/sudoer 檔案
家目錄加密 可能可以達到你的希望
當 UserA 登入時 完全無法打開 UserB 的家目錄
當 UserB 登入時 完全無法打開 UserA 的家目錄
解密用途的 passphrase 各自保管好 互相不知道彼此的 passphrase
詳細參閱
https://help.ubuntu.com/community/EncryptedHome
http://www.howtogeek.com/116032/how-to- ... ng-ubuntu/

加密也可以針對某個目錄或某個分割區
解密用途的 passphrase 需要保管好
詳細參閱
https://help.ubuntu.com/14.04/serverguide/ecryptfs.html
以及其連結文章

从源码编译ＤＥ是不是可以实现用戶自己运行各自的ＤＥ而不影响系統文件？

看看 這一篇 能否幫你嘹解
https://help.ubuntu.com/community/EnvironmentVariables
特別是
https://help.ubuntu.com/community/Envir ... _variables
https://help.ubuntu.com/community/Envir ... _variables

圖形環境 tty7 ~ tty12 比較複雜
可以參考
viewtopic.php?p=3089713#p3089713

這裡的链接似乎不对？ ^^）

我再試過了 沒問題 可以打開連結
viewtopic.php?p=3089713#p3089713

[highwind]

－－－－闲扯1－－－－
想来这就是sudo带来的利与弊吧，让普通用户变得不普通，搞得其他普通用户很紧张阿。
［一下把以前学的有关Ｌinux权限分配的东西搞得情况复杂了不少］
其实我这篇帖子的初衷是想，如果各个用户仅能在已经划定的小圈圈内折腾就好了，可惜Ｕnix类系統似乎并不容易实现。
果然资源空间和自由度是一对矛盾体阿，可能等家用电脑强大了，多用户使用多虚拟机更加合适这样的资源配置吧。
［其实这样也挺好的，设备一次性配置好，总比每次搞系統都去重新配置一番强多了］
（以前家里只有一台电脑的时候，大家争着玩，现在尽量向人手一台发展，这种情况就不多见，
但以后要往家电智能化发展，这种单一中心的情况可能又会出现吧？）
－－－－闲扯2－－－－
那么＠poloshiao对这种多管理员存在的情况还有什么经验可以分享的吗？
有没有可能比如在执行sudo或者root命令时要求多个管理员同时［可延时］提供各自密码组成新的管理员密码来进行系统管理呢？
扯的有点远了，望各位包涵。。。
－－－继续学习中－－－
ps：＠poloshiao那个链接您一开始指回本帖我没反应过来，原来你想说的应该是和gksudo以及policykit有关吧？

[poloshiao]

原来你想说的应该是和gksudo以及policykit有关吧？

tty7 ~ tty12 圖形界面 特別是 桌面進程
基本上 會去讀取 家目錄的設定檔
所以 比較適用於 per-user 的 user 進程
需要使用 root 權限時
使用 gksudo 或 pkexec (policykit)
這樣的習慣 跟 Ubuntu 的操作環境 比較相容

多管理员存在的情况还有什么经验可以分享的吗？

1. 每個使用者 加密的家目錄 以及 一個以上的獨立加密分割區
每個使用者 擁有自己保密的 password 及 passphrase
你也可以幫他們保管 password 及 passphrase (不給他們)
這樣 每個使用者 都可以 保有自己的祕密
1-1. 補充 : passphrase 就是 解密的金鑰 需要 sudo 的 password 才能產生
1-2. 每個使用者 登入時 自己的 加密的家目錄 以及 加密的分割區 都可以自動解密 意思是 不需額外解密指令
1-3. 每個使用者 登入時 都無法 看到 其它使用者 加密的家目錄 以及 加密的分割區 除非他使用那個使用者的 passphrase 解密
1-4. 這樣 可能比較 合乎你的需求

[highwind]

谢谢您的分享，也非常感谢介绍 ACL 機制，小结一下：介于目前易用程度看，软件安装，还有包管理，独立用户独立环境都不是很容易能达到的。
这次提问已经解决很多疑惑了。