Зараз ганяю на VirtualBox’і Sabayon CoreCD 5.1, що вийшов 21-го грудня минулого року, і помітив цікаву особливість підходу до системи адміністрування. Особливість ця була виявлена також у 5.1 G і тоді я зрозумів що вона мені нагадує, а нагадує вона мені Ubuntu. Справа в тому, що при установці системи можливо не завдавати окремий пароль для користувача root. Інсталятор автоматично заповнює поля паролю для root паролем звичайного користувача. Якщо якась програма вимагає прав адміністратора, то вона просто запитує цей пароль ще раз. Увійти в систему під іменем root неможливо навіть у термінал. Треба логінитись під ім’ям користувача, вводити пароль, потім писати su і вводити пароль знову. Також працює оточення sudo. Коротше кажучи, Ubuntu, тільки в профіль з equo замість apt-get.

Але варто вказати у інсталяторі різні паролі і отримаємо класичну систему з користувачем із довільним ім’ям і користувачем root з правами нададміністратора. От такий от дуалізм.

Існує кілька більш-менш толкових хавту по цій темі, але вони всі ворожою англійською мовою. Крім того я зіштовхнувся з рядом проблем при налаштуванні системи і мусив чимало погуглити, тому це хавту вийшло повніше і детальніше, ніж будь-яке з тих, на які я спирався. Отож вперед!

Підготовка до установки
Це потрібно зробити і на клієнтських і на серверній машині.
Відкриваю термінал і переходжу до режиму суперкристувача

sudo -s

Вводимо пароль
Установимо залежності, бо CCLFox будемо збирати з коду.

apt-get install sqlite3 libsqlite3-dev
apt-get install libfox1.4 libfox1.4-dev
apt-get install libglib2.0-dev
apt-get install libssl-dev

На всі питання відповідаємо “Y”
А цей пакет потрібен власне для самої зборки

apt-get install build-essential

Тепер потрібно додати у /etc/ld.so.conf шляхи до бібліотек

gedit /etc/ld.so.conf

дописуємо в кінець

/usr/lib
/usr/local/lib

Наступна команда потрібна для створення динамічних лінків, чи щось таке. Я з тим не розбирався – запустив та й все.

ldconfig

Установка серверної частини
Завантажуємо файли з кодом з сторінки завантаження проекту. Нам потрібні файли libccls (server side library) і cclfox (server using fox). Переходимо в директорію завантажень

cd Загрузки/

Розпаковуємо архів libccls і переходимо в отриману директорію

tar -xjvf libccls-0.7.0.tar.bz2
cd libccls-0.7.0/

Конфігуруємо.

./configure

Збираємо і установлюємо

make
make install

Створюємо сімлінк на бібіліотеку, бо без нього при запуску серверної частини отримаємо помилку типу:

cclfox: error while loading shared libraries: libccls.so.0: cannot open shared object file: No such file or directory

ln -s /usr/local/lib/libccls.so.0 /usr/lib

На скільки я зрозумів, проведені маніпуляції з /etc/ld.so.conf потрібні якраз для того щоб не потрібно було створювати цей сімлінк – ну да ладно, мені не шкода . Також я пробував збирати бібіліотеку з опцією –prefix=/usr , але це чомусь негативно вплинуло на стабільність сервера і він постійно крашився зі словами “segmentation fault”. Ладно, їдемо далі…
Переходимо на рівень вище, розпаковуємо cclfox, переходимо до отриманої директорії, конфігуруємо, збираємо установлюємо

cd ..
tar -xjvf cclfox-0.7.0.tar.bz2
cd cclfox-0.7.0/
./configure
make
make install

Тепер прямуємо до домашньої директорії і створюємо там директорію .cclfox

cd ~
mkdir .cclfox

Необхідно покласти туди ось цей файл і привласнити йому права на виконання. Я робив це за допомогою mc, але опишу консольний варіант. Якщо файл потрапив у директорію ~/Загрузки , то це виглядатиме приблизно так:

cp ~/Загрузки/pem ~/.cclfox/
chmod -R 755 ~/.cclfox

Запускається сервер командою

cclfox -nossl

Для зручності можна створити кнопку на стільниці. Вона виглядає приблизно так

nano ~/Рабочий\ стол/cclfox.desktop

#!/usr/bin/env xdg-open
 
[Desktop Entry]
Encoding=UTF-8
Version=1.0
Type=Application
Terminal=false
Icon[ru_UA]=gnome-panel-launcher
Name[ru_UA]=cclfox
Exec=cclfox -nossl
Name=cclfox
Icon=/usr/share/icons/Humanity/apps/48/gnome-mime-application-x-remote-connection.svg

Переходимо до клієнтського комп’ютера.

Установка клієнтської частини
Вважається що все що описано у пункті “Підготовка до установки” тут вже виконано. Поїхали!
Нам потрібні файли libcclc (client side library) і cclcfox (client using fox). Переходимо в директорію завантажень

cd ~/Загрузки/

Розпаковуємо архів libcclc і переходимо в отриману директорію

tar -xjvf libcclc-0.7.0.tar.bz2
cd libcclc-0.7.0/

конфігуруємо, збираємо, установлюємо

./configure --prefix=/usr
make
make install

Зверніть увагу на опцію конфігурації. Тут вона цілком безпечна, однак, гадаю що можна скористатися і методом зі створенням сімлінку, як у випадку з сервером.

Повертаємось назад, розпаковуємо архів з cclfox, переходимо в утворену директорію, конфігуруємо, збираємо, установлюємо

cd ..
tar -xjvf cclcfox-0.7.0.tar.bz2
cd cclcfox-0.7.0/
./configure
make
make install

Клієнт запускається командою

cclcfox -host IP_СЕРВЕРА -name ІМ’Я_КЛІЄНТА -nossl

На приклад так:

cclcfox -host 192.168.2.100 -name user3 -nossl

Я створив файл автозапуску клієнта для GNOME /home/user3/.config/autostart/cclcfox.desktop з отаким вмістом

[Desktop Entry]
Type=Application
Encoding=UTF-8
Version=1.0
Name=Нет имени
Name[ru_UA]=cclcfox
Comment[ru_UA]=CCLFox Client
Comment=CCLFox Client
Exec=cclcfox -host 192.168.2.100 -name user3 -nossl
X-GNOME-Autostart-enabled=true

Якщо цей файл створювався не через GUI то ймовірно на нього потрібно встановити правильні права і власника

chmod 555 /home/user3/.config/autostart/cclcfox.desktop

chown user3:user3 /home/user3/.config/autostart/cclcfox.desktop

Тепер налаштуємо віддалене керування живленням клієнта. Для цього варто трохи підправити права на /sbin/shutdown і /sbin/reboot

chmod 7755 /sbin/shutdown
chmod 7755 /sbin/reboot

Також можна покласти у ~/.cclcfox/ картинку lockpix.gif . Ця картинка буде займати заблокований екран. У моєму випадку це логотип кав’ярні.

Про те як зробити щоб користувач випадково нічого не зламав я вже писав раніше. Систему розгорнуто. Смачної кави

Як завжди кілька посилань:

• Толкове хавту на яке я спирався
• Мертва домашня сторінка
• Сторінка завантажень
• Тема на ubuntuforums.org

Дуже стисле технічне завдання:

• ОС Ubuntu Linux
• Автологін користувача user3 у дуже обмежене антивандальне середовище
• Прихований користувач root з правами суперадміністратора

Поїхали!…

Викачав з ubuntu.com образ диску з 9.10, за допомогою утиліти unetbootin зробив інсталяційну флншку і встановив з неї ОС звичайним чином. При установці завів користувача user3, звісно ж в Ubuntu він автоматично став суперадміністратором. Щоб не мучитись з sudo до якого я не звик є цікавий чіт: запускаємо bash на правах суперкористувача і радіємо тому що більше не потрібно перед кожною командою писати sudo

sudo bash

Далі я встановив усі доступні оновлення, локалізацію, а також редактор ізоляцій pessulus і набір кодеків ubuntu-restricted-extras.

Тепер бажано налаштувати усе що зберігає свої налаштування у /home/user3, оскільки у майбутньому внесення туди правок буде дещо проблематичним. Так, видаляємо зайві пункти з головного меню Gnome, формуємо панель швидкого запуску, набір аплетів, вміст Стільниці, встановлюємо шпалери, оформлення і т.д.

Настав час активувати користувача root. Я видалив пункт запуску гном-терміналу з меню і скоро забороню запуск його через Alt+F2, тому перемикаюся у першу нульову консоль (Ctrl+Alt+F1), логінюся там як user3, встановлюю пароль для користувача root і цим активую його:

sudo passwd root

Вводжу пароль, підтверджую пароль.
Розлогінююсь

exit

і логінюсь під рутом. Переходжу до графічної консолі (Ctrl+Alt+F7) і розлогінююсь там також. У вікні входу в систему натискаю “Другое” і входжу як root.

Система -> Администрирование -> Пользователи и группы, вибираю user3, тисну на Свойства, вкладка Привилегии пользователя. Тут знімаю галочки де не треба. Якщо зняти галочку Администрировать систему то середовище user3 стане майже антивандальним, оскільки це заборонить користувачу user3 використовувати sudo, але згідно завдання мені потрібно залишити цю можливість.

Свойства учётной записи «user3»

Система -> Администрирование -> Редактор изоляции
Тут ставимо галочки де треба, а біля них замочки (Нажмите чтобы сделать этот параметр принудительным). Обов’язково забороняємо використання командної строки (насправді цей пункт забороняє запуск програм через Alt+F2). У гілці Панель є можливість заблокувати панель і заборонити вихід з сеансу, але у мене остання чомусь не спрацьовує. У гілці Хранитель экрана GNOME я заборонив блокування екрану.

Редактор изоляции

Тепер user3 не зможе зіпсувати систему, але може зіпсувати собі оточення. А воно повинне бути антивандальним. Можна звісно встановити йому права 000 на /home/user3, але невідомо чи будуть коректно тоді працювати прикладні програми, такі як Firefox чи Empathy. З іншої сторони, чи потрібно мені зберігати історію того самого Firefox чи Empathy? – Звісно ж ні. Рішення я знайшов колись дуже давно у якомусь непередбачуваному місці, здається на bash.org.ru. Воно передбачає знищення /home/user3 і створення його заново при кожному завершенні/відновленні роботи.

Запускаємо термінал і створюємо бекап /home/user3

sudo bash
cp -rp /home/user/ /var/backups/user3

Тепер створюємо скрипт, що буде знищувати /home/user3 і відновлювати його з бекапу. Назвемо його homeclear і розмістимо у /usr/local/bin/

nano /usr/local/bin/homeclear

Туди пишемо такий текст:

#!/bin/bash
 
rm -rf /home/user3/
cp -pdRr /var/backups/user3 /home/

Ось тут хочу зауважити, що скопіювати скриптом рекурсивно вміст директорії у іншу директорію мені так і не вдалося. Потрібно копіювати не вміст директорії, а саму директорію. Так, команда cp -pRr /var/backups/user3 /home/user3 створить директорію /home/user3/user3 (тоді як сама домашня директорія залишиться невідновленою); cp -pRr /var/backups/user3/* /home/user3 відновлює чомусь тільки видимі файли. Для невидимих використовую маску “.*” , але під неї попадає “.” і “..” , з усіма з цього наслідками. Це говорить про те, що бекап повинен зберігатися саме у директорії з назвою user3, і ні в якій іншій.

Тепер потрібно зробити щоб цей скрипт запускався при завершенні чи відновленні роботи користувача user3. Як це зробити я піддивився ось тут. Запускати цей скрипт при логіні дещо проблематично, бо такий спосіб передбачає розміщення посилання на нього у ~/.config/autostart, а він повинен знищувати ~/ . Рекурсія блін Можна було звісно погратися, але не було бажання, тому будемо запускати його при логауті. Приводимо скрипт /etc/gdm/PostSession/Default до от такого стану:

#!/bin/sh
 
logoutscript="/usr/local/bin/homeclear";
if [ -x "$logoutscript" ] ; then
sudo -u root "$logoutscript"
fi
 
exit 0

От і все. Щоб там не намутив user3 при логауті це все буде знищено та відновлено до стану на момент створення /var/backups/user3 .
Для того щоб тимчасово призупинити таку поведінку достатньо забрати у скрипта homeclear право на виконання

chmod -x /usr/local/bin/homeclear

Для того щоб повернути таку поведінку достатньо надати скрипту homeclear право на виконання

chmod +x /usr/local/bin/homeclear

Тепер мені потрібно заборонити користувачу user3 можливість завершити сеанс, перезавантажити, вимкнути чи відправити у гібернейт комп’ютер. Зважаючи на те що користувач не знає пароля від user3 і ніяким чином не може викликати термінал достатньо видалити відповідні пункти меню. Теоретично це можна зробити за допомогою gconf-editor (я дуже злий на цей дурнуватий інструмент) правкою ключів /apps/gnome-power-manager/can_hibernate
/apps/gnome-power-manager/can_suspend
/apps/panel/global/disable_log_out
/apps/panel/global/disable_lock_screen
але як я їх не правив ніякого ефекту не відчув. Мало того, при спробі правити котрогось з них я побачив повідомлення про те що не маю прав це робити, оскільки мені заборонено запис у файл, який містить цей ключ. Що то за файл я так і не зрозумів, у який root писати не може. Ну гаразд, встановлю краще права 700 на /usr/lib/indicator-session/gtk-logout-helper і /usr/lib/pm-utils/bin/pm-action та й годі.

chmod 700 /usr/lib/indicator-session/gtk-logout-helper
chmod 700 /usr/lib/pm-utils/bin/pm-action

для гібернейту це не допомогло, тому ще забрав права на виконання у pm-action:

chmod -x /usr/lib/pm-utils/bin/pm-action

Ну і для заборони гостьового сеансу видаляю пакет gdm-guest-session

sudo apt-get remove gdm-guest-session

UPD 04.12.2009 12:29
Сьогодні зроумів як забрати зайві пункти з апплету керування сесією. Для цього треба забрати трохи прав у /usr/lib/indicator-session/indicator-session-service

chmod 700 /usr/lib/indicator-session/indicator-session-service

Також можна прибрати Network Manager applet

chmod 750 /usr/bin/nm-connection-editor
chmod 750 /usr/bin/nm-tool
chmod 750 /usr/bin/nm-applet

Ось це начебто і все. Посилань не лишаю, бо дуже багато їх надивився за ці 3 дні і вже сам у них заплутався =) Коментуйте.

Отже, якщо необхідно повернутися до використання GRUB legacy (0.97), то потрібно видалити пакети з новим grub`ом і встановити пакет з старим. Це можна робити будь-яким зручним способом, наприклад через Synaptic, але деякі кроки можна виконати лише через термінал. Тому з нього і почнемо:

1. Відкриваємо термінал. Applications -> Accessories -> Terminal
2. Створюємо резервну копію GRUB 2

sudo cp /etc/default/grub /etc/default/grub.old

sudo cp -R /etc/grub.d /etc/grub.d.old

sudo cp -R /boot/grub /boot/grub.old

3. Видаляємо GRUB2

sudo apt-get purge grub2 grub-pc

Після цього утиліта видалення GRUB попередить вас про те що система стає unbootable (не здатною завантажитись) і буде такою доки не встановити завантажувач. Ми про це вкурсі, тому натисніть “Y”.

4. Встановлюємо GRUB 0.97

sudo apt-get install grub

5. Після установки потрібно створити menu.lst і stage1/stage2 файли. Для цього виконайте команди

sudo update-grub

Підтвердіть виконання операцій, натиснувши “Y”

sudo grub-install /dev/sdX

УВАГА! Тут замість sdX слід підставити файл блочного пристрою, на який встановлено систему (чи куди має бути встановлено завантажувач). На приклад sda, sdb чи hda.
Якщо grub-install прозвітує про те що установка пройшла без помилок, а у мене це виглядає так:

Installing GRUB to /dev/sda as (hd0)...
Installation finished. No error reported.
This is the contents of the device map /boot/grub/device.map.
Check if this is correct or not. If any of the lines is incorrect,
fix it and re-run the script `grub-install'.
 
(hd0)	/dev/sda
(hd1)	/dev/sdb

то можна сміливо перезавантажувати систему.