Como configurar o pkexec para não solicitar senha?

Eu tenho um aplicativo GUI que precisa chamar um daemon (escrito em Python) com privilégios de superusuário. Eu gostaria de fazer isso sem solicitar ao usuário uma senha.

Como o daemon é um script, não posso definir o bit SUID diretamente. Eu poderia escrever um invólucro em C para isso, mas prefiro não reinventar a roda, especialmente quando um erro da minha parte poderia levar à segurança do sistema seriamente comprometida.

O que eu normalmente faria nessa situação é adicionar uma linha /etc/sudoersque permita aos usuários executar o daemon como root sem uma senha, usando a diretiva NOPASSWD. Isso funciona bem na linha de comando. No entanto, quando faço isso a partir da GUI, pkexecaparece uma caixa de diálogo solicitando a senha do usuário. Parece que no Ubuntu, as chamadas sudoda GUI estão sendo interceptadas de alguma forma pkexec.

Existe uma maneira limpa de contornar isso? Eu realmente prefiro não ter que lidar com os aborrecimentos de um script setuid.

É impróprio dizer que: "Parece que, no Ubuntu, as chamadas sudoda GUI estão sendo interceptadas de alguma forma pkexec" . pkexecnão tem muito em comum com sudo. Em contraste com sudo, pkexecnão concede permissão de root a um processo inteiro, mas permite um nível mais fino de controle da diretiva do sistema centralizado.

Agora, se você deseja executar um aplicativo GUI sem ser solicitado por uma senha pkexec, isso não é difícil de ser feito. Vamos pegar, por exemplo, GParted . Ao abri-lo, você verá a seguinte janela de diálogo solicitando uma senha:

Clique em Detalhes e a janela de diálogo terá a seguinte aparência:

A partir daqui, tudo o que você precisa fazer é abrir o arquivo usando, por exemplo, o seguinte comando:/usr/share/polkit-1/actions/com.ubuntu.pkexec.gparted.policy

gksu gedit /usr/share/polkit-1/actions/com.ubuntu.pkexec.gparted.policy

e altere as seguintes linhas:

      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>

com os seguintes:

      <allow_any>yes</allow_any>
      <allow_inactive>yes</allow_inactive>
      <allow_active>yes</allow_active>

Salve o arquivo e feche-o. Em seguida, quando você abrir o GParted , não será mais solicitada uma senha.