एक लिनक्स उपयोगकर्ता को CAP_SYS_NICE क्षमता कैसे सेट करें?

Question

मेरा प्रोग्राम लिनक्स सिस्टम कॉल setpriority() का उपयोग कर रहे धागे की प्राथमिकताओं को बदलने के लिए कर रहा है। इसे नकारात्मक प्राथमिकताओं (-10) को सेट करने की आवश्यकता है, लेकिन जैसा कि दस्तावेज पर बताया गया है, यह सामान्य उपयोगकर्ता के रूप में चलाने पर विफल रहता है।

उपयोगकर्ता को CAP_SYS_NICE की आवश्यकता है जो प्राथमिकताएं सेट करने में सक्षम होने की क्षमता है, लेकिन मुझे नहीं पता कि उपयोगकर्ता को ऐसी क्षमता कैसे दी जाए।

तो मेरा प्रश्न: लिनक्स उपयोगकर्ता को CAP_SYS_NICE क्षमता कैसे सेट करें?

Answer 1

जन ह्यूडेक सही है कि एक प्रक्रिया केवल खुद को एक क्षमता नहीं दे सकती है, और एक सेटुइड रैपर क्षमता प्राप्त करने का स्पष्ट तरीका है। साथ ही, ध्यान रखें कि जब आप रूट छोड़ते हैं तो आपको prctl(PR_SET_KEEPCAPS, ...) की आवश्यकता होगी। (विवरण के लिए prctl मैन पेज देखें।) अन्यथा, जब आप अपने गैर रूट रूट उपयोगकर्ता आईडी में संक्रमण करते हैं तो आप क्षमता को छोड़ देंगे।

आप वास्तव में सिर्फ एक अलग अनुमति अच्छा स्तर के साथ उपयोगकर्ता सत्र लॉन्च करना चाहते हैं, तो आप pam_limits और limits.conf आदमी पृष्ठ दिखाई दें, के रूप में pam_limits मॉड्यूल आप हार्ड अच्छा सीमा बदलने के लिए अनुमति देता है। यह एक लाइन की तरह हो सकता है:

yourspecialusername hard nice -10 

Answer 2

AFAIK क्षमता प्राप्त करना संभव नहीं है। रूट प्रक्रियाओं में सभी क्षमताएं होती हैं और उन्हें दे सकती हैं, लेकिन एक बार छोड़ दिया जाता है, उन्हें वापस नहीं लिया जा सकता है। तो आपको एक सूड-रूट रैपर की आवश्यकता होगी जो सभी अन्य क्षमताओं को छोड़ देगी और प्रक्रिया को चलाएगी।

Answer 3

के बारे में sudo, मैं इस तरह उपयोगकर्ता कहा:

niceuser ALL=NOPASSWD:/usr/bin/nice 

और फिर यह ठीक काम किया:

niceuser@localhost $ nice 
0 
niceuser@localhost $ sudo nice -n -10 nice 
-10 

Answer 4

एक अच्छा काम उपयोगिता नहीं है बाइनरी पर क्षमताओं को सेट करने के लिए: सेट कैप। इसे आपके एप्लिकेशन बाइनरी पर रूट के रूप में चलाने की आवश्यकता है, लेकिन एक बार सेट होने पर, सामान्य उपयोगकर्ता के रूप में चलाया जा सकता है। उदाहरण:

$ sudo setcap 'cap_sys_nice=eip' <application> 

आप getcap का उपयोग कर पुष्टि कर सकते हैं कि क्या क्षमताओं एक आवेदन पर हैं:

$ getcap <application> 
<application> = cap_sys_nice+eip 

मैं स्थापित लाइन है, जो आमतौर किसी भी तरह रूट के रूप में चलाया जाता है में अपने makefile में क्षमताओं को एकीकृत सुझाव देंगे । ध्यान दें कि क्षमताओं को एक टीएआर फ़ाइल या किसी व्युत्पन्न पैकेज प्रारूप में संग्रहीत नहीं किया जा सकता है। यदि आप बाद में अपने आवेदन को पैकेज करते हैं, तो तैनाती पर क्षमता लागू करने के लिए आपको एक स्क्रिप्ट (डेबियन पैकेज के लिए पोस्टइंस्ट) की आवश्यकता होगी।