主页 / server / 问题 / 858836
Accepted
Aaron
Asked: 2017-07-01 17:31:10 +0800 CST

在 CentOS 7 上禁用 polkit.service 的正确方法

  • 772

为什么？

我的服务是通过适当的单元文件或初始化脚本启动的。我不需要普通用户在我的服务器上做任何特别的事情su。我正在寻找一种完全关闭 polkit 的方法，而不会在其他服务重新启动时自行启动。

我预见到在我们的 PCI 环境中向审计员解释这一点也会出现问题。我们必须描述每项服务的目的。我们没有在 PCI 环境中使用 polkit 的合法用例。

附加说明：我没有安装 polkit。这些服务器的安装量非常小，大约为 670MB / 这是一个似乎已安装 polkit 的 systemd 更新，并且该规范显然依赖于所有 systemd 托管服务。安装后，我必须重建机器才能将其删除，就像nss安装后尝试删除一样。我担心的是，如果我强制卸载，它可能会留下一些文件，这些文件会导致 systemd 假定它在那里。

我试过的：

创建/etc/polkit-1/rules.d/99-deny-all.rules与

polkit.addRule(function(action, subject) {
    return polkit.Result.YES;
});

然后

systemctl daemon-reload && systemctl daemon-reexec

这什么都不做，/usr/lib/polkit-1/polkitd --no-debug当 systemd 下的其他服务重新启动时继续启动。

[更新]正如亚历山大所说，重新启动 polkit 会将设置应用于 polkit 本身，这很好，但我正在寻找一种方法来告诉 polkit 不启动不会破坏其他服务。

[更新 2] 这实际上可能会阻止某些服务正确重新启动。

屏蔽或禁用服务：

这会导致其他服务在启动和关闭时挂起，等待 polkit。

编辑/usr/share/dbus-1/sstem-services/org.freedesktop.PolicyKit1.service：

[snip]
Exec=/bin/false
[snip]

然后

systemctl daemon-reload && systemctl daemon-reexec

这什么都不做，/usr/lib/polkit-1/polkitd --no-debug当 systemd 下的其他服务重新启动时继续启动。

我已经阅读了几次手册页。这可能是我想念的非常简单的事情。我的偏好是在 systemd 包更新后仍然存在的方法。

我正在寻找的最终目标是让 polkit.service 在其他守护进程重新启动时不启动，例如 unbound、bind、dhcp 等。

centos

3 个回答

  1. Best Answer

    更新

    Redhat 已经改变了围绕 Polkit 的 RPM 依赖关系。现在可以从服务器上卸载它，即使在之前的升级或安装过程中已经将其拉入。

    我现在可以从其他人自 CentOS 7.6 开始构建的服务器上卸载 Polkit。

    它在工作站上仍然是必需的，并且似乎适合桌面使用。

    • 2

  2. 添加规则后，/etc/polkit-1/rules.d/99-deny-all.rules您应该重新启动 polkit 服务systemctl restart polkit。在此之后 systemctl 将执行来自非特权用户的任何请求。

    • 1

  3. 作为系统的所有者，我们通常不关心发行版构建者的意图。许多人会不同意，但我考虑限制启动/停止/安装/删除系统组件等。供应商侵入我的财产，并按照我认为合适的方式处理我的系统。

    如果您发现自己处于一种情况，您认为删除是polkit最合适的选项，并且发行版构建器没有为您提供“支持”的方法，您可以搜索polkitd并重命名文件，然后发布服务停止命令。

    在我的特殊情况下，polkit当我不需要时倾向于固定一个 CPU 内核，我使用上述方法将其删除。欢迎您，给用户力量！

    • 0

相关问题