Voir la source de Polkit

[[en:PolicyKit]]
{{DISPLAYTITLE:polkit}}
[http://freedesktop.org/wiki/Software/polkit polkit] est un ensemble d'outils permettant de gérer des règles pour autoriser la communication entre, d'un côté, des processus privilégiés offrant des services et de l'autre, des processus non privilégiés. Pour donner un exemple concret, ça peut selon la configuration permettre, à un simple utilisateur de modifier l'heure sans pour autant avoir l'accès à l'utilisateur {{codeline|root}}.

{{tip|N'hésitez pas à lire la page de manuel {{man|8|polkit}} pour des informations plus à jour et plus complètes.}}

== Installation ==

L'installation explicite n'est pas nécessaire, si vous installez une application qui y fait appel, le paquet {{pkg|polkit}} sera de la partie.

== Fonctionnement ==
'''polkit''' s'articule autour :
* d'une [[#Autorité|autorité]] (''Authority'') qui permet aux applications de faire des demandes d'autorisation.
* d'[[#Actions|actions]] définies par les applications.
* d'un ensemble de [[#Règles|règles]] définissant les autorisations (''Authorization Rules'').
* d'un [[#Agent d'authentification|agent d'authentification]] (''Authentification Agent'') dans le cas où il y aurait une demande de mot de passe.

=== Autorité ===
L'autorité est représentée par le service D-Bus fourni par le programme {{codeline|polkitd}}. Le service est lancé à la demande (quelque soit le système [[:category:init|init]]).

=== Actions ===

Les actions sont définies par les applications et se présentent sous la forme d'un fichier {{filename|/usr/share/polkit-1/actions/*.policy}}.

Une action est déclarée avec des autorisations par défaut selon l'état de la session utilisateur (''session'' ici désigne les sessions telles que définies par [[systemd/logind|systemd-logind]]). Les 3 états possibles sont :
* {{codeline|implicit_active}} : La session de l'utilisateur est locale (non distante) et active (l'utilisateur peut interagir avec).
* {{codeline|implicit_inactive}} : La session de l'utilisateur est locale (non distante) mais non active.
* {{codeline|implicit_any}} : Tous les autres cas.

Pour chaque état, l'autorisation peut être :
* {{codeline|no}} : pas d'accès.
* {{codeline|yes}} : accès sans restriction.
* {{codeline|auth_self}} : donne l'accès une seule fois après avoir demandé à l'utilisateur de s'authentifier.
* {{codeline|auth_admin}} : il faut s'authentifier en tant qu'''administrateur''.
* {{codeline|auth_self_keep}} : demande l'authentification de l'utilisateur et garde l'autorisation pour cinq minutes.
* {{codeline|auth_admin_keep}}: même chose que {{codeline|auth_self_keep}} mais en demandant l'authentification d'un ''administrateur''.
{{tip|Le terme ''administrateur'' désigne un utilisateur ou groupe défini dans les [[#Règles|règles]]. Par défaut, le {{codeline|root}} et les utilisateurs du groupe {{codeline|wheel}} sont considérés comme administrateur.}}

Pour l'exemple, prenons l'action de monter une partition : {{codeline|org.freedesktop.udisks2.filesystem-mount}}. Cette action est définie dans le fichier :
{{file|name=/usr/share/polkit-1/actions/org.freedesktop.udisks2.policy|content=
<nowiki><?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
        "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
<policyconfig>
<!-- ... -->
  <action id="org.freedesktop.udisks2.filesystem-mount">
    <description>Mount a filesystem</description>
<!-- ... -->
    <message>Authentication is required to mount the filesystem</message>
<!-- ... -->
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>yes</allow_active>
    </defaults>
  </action>
<!-- ... -->
</policyconfig></nowiki>
}}

On peut avoir des infos sur l'action avec la commande {{codeline|pkaction}} :
{{command|name=pkaction --verbose --action-id org.freedesktop.udisks2.filesystem-mount|output=
<nowiki>org.freedesktop.udisks2.filesystem-mount:
  description:       Mount a filesystem
  message:           Authentication is required to mount the filesystem
  vendor:            The udisks Project
  vendor_url:        http://udisks.freedesktop.org/
  icon:              drive-removable-media
  implicit any:      auth_admin
  implicit inactive: auth_admin
  implicit active:   yes
</nowiki>}}

Passons la partie présentation de l'action regroupant les entrées {{codeline|description}}, {{codeline|message}},  {{codeline|vendor*}} et {{codeline|icon}} et intéressons nous aux autorisations. Par défaut, seul un utilisateur connecté localement et dont la session est active peut monter une partition sans s'authentifier ({{codeline|implicit active}}), tout autre cas demande l'authentification en tant qu'''administrateur''.

=== Règles ===

Les règles sont lu depuis {{filename|/etc/polkit-1/rules.d/*.rules}} et {{filename|/usr/share/polkit-1/rules.d/*.rules}} en fonction de leur noms et en prenant ceux de {{filename|/etc}} en premier en cas de noms identiques.

Les fichiers sont des programmes ''javascript'' rajoutant des règles à '''polkit''' ({{codeline|man polkit}} pour plus d'informations).

A titre d'exemple, nous pouvons voir le fichier livré par défaut : 
{{file|name=/etc/polkit-1/rules.d/50-default.rules|content=<nowiki>
polkit.addAdminRule(function(action, subject) {
    return ["unix-group:wheel"];
});
</nowiki>
}}

Ce fichier représente l'ajout du groupe {{codeline|wheel}} comme groupe d'''administrateur''.

Pour donner un autre exemple, prenons le cas du montage d'une partition système (partition interne). Par défaut :
{{command|name=pkaction --verbose --action-id org.freedesktop.udisks2.filesystem-mount-system|output=
<nowiki>org.freedesktop.udisks2.filesystem-mount-system:
  description:       Mount a filesystem on a system device
  message:           Authentication is required to mount the filesystem
  vendor:            The udisks Project
  vendor_url:        http://udisks.freedesktop.org/
  icon:              drive-removable-media
  implicit any:      auth_admin
  implicit inactive: auth_admin
  implicit active:   auth_admin_keep
</nowiki>
}}
Il faut donc s'authentifier quelque soit l'état de la session. On peut le vérifier avec la commande {{codeline|pkcheck}} :
{{command|name=pkcheck --action-id org.freedesktop.udisks2.filesystem-mount-system --process $$|output=
polkit\56retains_authorization_after_challenge=1
Authorization requires authentication and -u wasn't passed.
}}

Modifions cela en créant un fichier :
{{file|name=/etc/polkit-1/rules.d/10-mount-system.rules|content=
<nowiki>polkit.addRule (function (a,s) {
        if (a.id == 'org.freedesktop.udisks2.filesystem-mount-system' && s.user == 'tuxce')
                return polkit.Result.YES;
});
</nowiki>}}

Et là :
{{command|name=pkcheck --action-id org.freedesktop.udisks2.filesystem-mount-system --process $$ && echo Succès|output=Succès}}

On peut aussi permettre toutes les opérations ''udisks2'' à un utilisateur sans authentification :
{{file|name=/etc/polkit-1/rules.d/10-mount.rules|content=
<nowiki>polkit.addRule (function (a,s) {
        if (a.id.indexOf ('org.freedesktop.udisks2.') == 0 && s.user == 'tuxce')
                return polkit.Result.YES;
});
</nowiki>}}

=== Agent d'authentification ===

'''polkit''' a besoin d'un ''agent authentificateur'', autrement dit une application se lançant lorsqu'il y a besoin de rentrer un mot de passe. Par défaut, '''polkit''' en fournit un en mode texte. Vous pouvez éventuellement avoir besoin d'installer un agent en mode graphique. Pour savoir si vous en avez besoin, exécutez :
 pkexec ls
Si vous n'avez pas de fenêtre qui s'ouvre pour la demande de mot de passe, installez selon votre environnement (gtk/qt) l'un des paquets suivants : {{pkg|polkit-gnome}} (gtk) ou {{pkg|polkit-kde}} (qt). Il faut lancer au démarrage de votre session :
 # pour gtk
 /usr/lib/polkit-gnome/polkit-gnome-authentication-agent-1
 # ou pour qt
 /usr/lib/polkit-kde-authentication-agent-1

== Outils ==

Trois commandes sont fournies avec l'application :
* {{codeline|pkaction}} permet d'afficher les détails d'une action.
* {{codeline|pkcheck}} permet de savoir si vous avez le droit d'utiliser une action.
Ces 2 commandes ont été vues dans les précédentes sections.
* {{codeline|pkexec}} est un peu spécial, c'est un genre de [[sudo]], il permet d'exécuter un programme avec un autre utilisateur.


On va voir un exemple de configuration de commande, on va prendre comme exemple le lancement d'un terminal, et on va permettre à notre utilisateur de le lancer sous un autre identifiant sans demande de mot de passe.

Pour commencer, il faut définir une nouvelle action:
{{file|name=/etc/polkit-1/actions/fr.archlinux.wiki.example.pkexec.policy|content=<nowiki>
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
 "-''freedesktop''DTD PolicyKit Policy Configuration 1.0//EN"
 "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
<policyconfig>

  <vendor>Archlinux.fr</vendor>
  <vendor_url>http://wiki.archlinux.fr/Policykit</vendor_url>

  <action id="fr.archlinux.wiki.example.pkexec.urxvt">
    <description>Lance urxvt</description>
    <description xml:lang="en">Run urxvt</description>
    <message>L'authentification est requise pour lancer urxvt</message>
    <message xml:lang="en">Authentification is required to run urxvt</message>
    <icon_name>utilities-terminal</icon_name> 
    <defaults>
      <allow_any>no</allow_any>
      <allow_inactive>no</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
    <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/urxvt</annotate>
  </action>

</policyconfig>
</nowiki>}}

En dehors de ce qu'on a vu auparavant, on a rajouté la ligne:
 <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/urxvt</annotate>
Qui permet d'indiquer à {{codeline|pkexec}} pour quelle commande cette application s'applique.

Si on lance:
 pkexec urxvt

On a une demande d'authentification en tant qu'''administrateur''.

Ensuite, on modifie la réponse de cette action par rapport à notre utilisateur :
{{file|name=/etc/polkit-1/rules.d/10-pkexec-urxvt|content=
<nowiki>polkit.addRule (function (a,s) {
        if (a.id == 'fr.archlinux.wiki.example.pkexec.urxvt' && s.user == 'tuxce')
                return polkit.Result.YES;
});
</nowiki>}}

Et voilà, ''tuxce'' peut maintenant lancer urxvt quel que soit l'utilisateur cible.
 pkexec --user test urxvt
Il faut néanmoins donner le droit à ''test'' d'accéder à X ({{codeline|xhost +}}).


[[Catégorie:Système]]