Run0 - Elevação de privilégios com systemd

Descrição

• Nenhuma credencial de execução ou de contexto de segurança é herdada do chamador para os comandos invocados, pois são invocados a partir de um serviço novo e isolado, bifurcado pelo gerenciador de serviços.
• A autenticação ocorre via polkit, isolando assim o prompt de autenticação do terminal (se possível). Recomendamos a leitura do manual polkit para maior entendimento.
• Um pseudo-tty independente é alocado para o comando invocado, desvinculando seu ciclo de vida e isolando-o por segurança.
• Nenhuma funcionalidade de bit de acesso ao arquivo SetUID/SetGID é usada para a implementação.

Antes de usar, saiba:

• Todos os argumentos de linha de comando, após o primeiro argumento não opcional, tornam-se parte da linha de comando do processo iniciado. Se nenhuma linha de comando for especificada, um shell interativo será invocado. O shell a ser invocado pode ser controlado através da variável --setenv=SHELL=… e atualmente assume como padrão o shell do usuário de origem (ou seja, não o do usuário de destino!) se estiver operando localmente, ou alternativamente /bin/sh ao operar com --machine=.
• Em caso de sucesso na execução, o estado de saída é zero (0). No caso de falha na execução, um valor não-zero é retornado.
• Assim como systemd-run [2], a sessão herdará o ambiente do sistema do gerenciador de serviços. Além disso, as seguintes variáveis de ambiente também serão definidas: $TERM, $SUDO_USER, $SUDO_UID, $SUDO_GID, caso elas estejam definidas.

Opções de uso

• --no-ask-password - Não consulta o usuário por autenticação.
• --unit=NOME - Define um nome de unidade para a execução, um nome aleatório é gerado se não fornecido.
• --property=NOME=VALOR - Define uma propriedade na unidade de serviço que é criada. Esta opção recebe uma atribuição no mesmo formato que o comando set-property do systemctl(1). Como por exemplo:

  # systemctl set-property foobar.service CPUWeight=200 MemoryMax=2G IPAccounting=yes

• --description="TEXTO" - Fornece uma descrição para a unidade que é invocada. Se não for definida, o próprio comando é utilizado como uma descrição. A sintaxe é similar à encontrada em [5] systemd.unit(5). Uma descrição é um título curto e legível da unidade, apenas para humanos.
• --slice= - Faça com que a nova unidade .service faça parte da fatia especificada, em vez de user.slice.
• --slice-inherit - Faça com que a nova unidade .service faça parte do slice no qual o próprio run0 foi invocado. Esta opção pode ser combinada com --slice=, nesse caso o slice especificado via --slice= é colocado dentro do slice no qual o comando run0 é invocado. Exemplo: considere run0 sendo invocado no slice foo.slice, e o argumento --slice=bar. A unidade será então colocada sob foo-bar.slice.
• --user=, -u, --group=, -g - Troca para o usuário/grupo definido, em vez de usar root.
• --nice=VALOR - Define um nível de gentileza para a tarefa. Esse é um valor numérico e pode ser dependente da definição de nice da sua distribuição.
• --chdir=CAMINHO, -D - Executa a sessão invocada com o diretório de trabalho especificado. Se não for especificado, o padrão é o diretório de trabalho atual do cliente se alternar para o usuário root, ou o diretório home do usuário de destino, caso contrário.
• --setenv=ENV[=VALUE] - Executa a sessão invocada com a variável de ambiente especificada definida. Este parâmetro pode ser usado mais de uma vez para definir várias variáveis. Quando "=" e VALUE são omitidos, o valor da variável com o mesmo nome no ambiente de invocação será usado.
• --background=[COR] - Define cores no padrão ANSI para o background do terminal. Uma string vazia desativa essa opção. Para detalhes das cores ANSI consulte [6]. Por exemplo: "--background=44" para um azul no background.
• --machine=CONTAINER - Executa a operação em um container local. Defina o nome do container.
• --help, -h - Exibe uma ajuda básica.
• --version - Exibe a versão do programa e encerra.

Casos de uso

# run0 --user=username /usr/bin/top

# run0 --machine=mycontainer --user=root /bin/bash

# run0 --slice-inherit --nice=10 /usr/bin/backup

[kyetoy@vbox ~]$ run0
==== AUTHENTICATING FOR org.freedesktop.systemd1.manage-units ====
Authentication is required to manage system services or other units.
Authenticating as: kyetoy
Password:
==== AUTHENTICATION COMPLETE ====
[root@vbox kyetoy]#

 run0 --chdir=/var pwd

 run0 --nice=19 tarefa-com-baixa-prioridade ...

 run0 --setenv=SECRET=true bash -c 'export'

 run0 --property=ProtectSystem=strict --property=ReadWritePaths=/var/log/write-test bash -c 'echo test > /var/log/write-test'

Conclusão

Agradecimentos

Referências:

• [1] Run0 Manual - Documentação oficial do run0
• [2] systemd-run Manual - Documentação oficial do systemd-run
• [3] Polkit Documentation - Documentação oficial do Polkit
• [4] systemctl Manual - Documentação oficial do systemctl
• [5] ANSI Escape Code Parameters - Parâmetros de código de escape ANSI
• [6] Linux Audit - run0 Introduction and Usage - Introdução e uso do run0