Ubuntu, Xubuntu, Ubuntu Budgie, Kylin¶

• policykit-1-gnome

Befehl zum Installieren der Pakete:

sudo apt-get install policykit-1-gnome 

Oder mit apturl installieren, Link: apt://policykit-1-gnome

Lubuntu¶

• lxpolkit (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install lxpolkit 

Oder mit apturl installieren, Link: apt://lxpolkit

Wer LXQt nutzt braucht das Paket

• lxqt-policykit (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install lxqt-policykit 

Oder mit apturl installieren, Link: apt://lxqt-policykit

Ubuntu Mate¶

• mate-polkit (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install mate-polkit 

Oder mit apturl installieren, Link: apt://mate-polkit

Kubuntu¶

• polkit-kde-agent-1 (universe)

Befehl zum Installieren der Pakete:

sudo apt-get install polkit-kde-agent-1 

Oder mit apturl installieren, Link: apt://polkit-kde-agent-1

pkexec¶

pkexec erfüllt grundsätzlich die gleiche Aufgabe wie sudo, d.h. es kann ein Programm mit Rechten eines anderen Nutzers - inklusive Root-Rechten - ausgeführt werden. Da pkexec die via PolKit definierten Regeln und Aktionen beachtet, ist eine wesentlich genauere bzw. fein-granularere Rechtesteuerung als mit sudo möglich.

Die allgemeine Syntax lautet^[2]:

pkexec [OPTIONEN] PROGRAMMNAME 

wird keine Option angegeben, wird PROGRAMMNAME mit Root-Rechten ausgeführt. Dazu muss man Root-Rechte auf dem System haben und das Passwort wird - genau so wie bei sudo - abgefragt.

Mittels pkexec kann man PROGRAMMNAME aber auch mit den Rechten eines anderen (unprivilegierten) Nutzer ausführen. So würde z.B.

pkexec -u otto PROGRAMMNAME 

PROGRAMMNAME als Nutzer otto ausführen. Vor der Ausführung wird nach dem Password von otto gefragt.

Wer eine Root-Shell benötigt führt folgenden Befehl aus:

pkexec bash -l 

Weitere Wege zum Arbeiten mit Root-Rechten sind im Wikiartikel mit Root-Rechten arbeiten aufgeführt.

pkexec gedit 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
 "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
 "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
<policyconfig>

  <action id="com.ubuntu.pkexec.gedit">
    <message>Authentication is required to run the gedit Editor</message>
    <icon_name>gedit</icon_name>
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
    <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/gedit</annotate>
    <annotate key="org.freedesktop.policykit.exec.allow_gui">true</annotate>
  </action>

</policyconfig>

pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY PROGRAMMNAME 

pkaction¶

Mit Hilfe des Programms pkaction können alle hinterlegten Aktionen angezeigt werden.

Der Aufruf von

pkaction 

listet einfach den Name aller Aktionen auf. Fügt man die Option --verbose hinzu, erhält man detailliertere Informationen zu jeder Aktion.

Der Befehl

pkaction --action-id com.ubuntu.pkexec.gedit --verbose 

würde nur Informationen für die Aktion mit der ID com.ubuntu.pkexec.gedit ausgeben.

pkla-Dateien anlegen¶

Über .pkla Dateien können zusätzliche Rechte für Nutzer und Gruppen für verschiedene Aktionen vergeben werde.

Die folgende Datei würde z.B. dem Nutzer "otto" erlauben, GParted per pkexec auszuführen, wobei nur das Password von otto abgefragt wird, aber kein Root-Password benötigt wird:

1
2
3
4
5

[extra permissions for gparted for user otto]
Identity=unix-user:otto
Action=com.ubuntu.pkexec.gparted
ResultInactive=no
ResultActive=auth_self

Die erste Zeile ist ein (beliebiger) Kommentar, die 2. Zeile legt fest, für wenn die Regel gilt. Anstatt unix-user kann man über unix-group: die Regel einer Gruppe zuweisen. Mehrere Benutzer können so angegeben werden: Identity=unix-user:otto;unix-user:susi. Die 3. Zeile legt fest, für welche Aktion die Regel gilt. Die 4. Zeile sagt, dass der Nutzer angemeldet und aktiv sein muss, die 5. Zeile legt fest, dass das Passwort des Benutzers abgefragt werden soll.

Eine weitergehende Erklärung zu pkla-Dateien liefert die Manpage zu pklocalauthority.

Root-Rechte über PolicyKit¶

Wer einen Root-Account aktiviert hat (siehe Artikel sudo/Konfiguration (Abschnitt „Root-Passwort-einrichten“)) und bei sudo mit der targetpw Option eingestellt hat, dass das Root-Passwort statt wie sonst bei Ubuntu üblich das Benutzer-Passwort eingegeben werden muss, möchte dies auch für PolicyKit so haben. Das geht beispielsweise durch eine Konfigurationsdatei /etc/polkit-1/localauthority.conf.d/60-root.conf mit folgendem Inhalt:

[Configuration]
AdminIdentities=unix-user:0