如何配置 pkexec？

Question 1

如何配置`pkexec`以避免运行 GUI 应用程序时出现错误？

我发现了两种可能的方法：

如您所见，使用以下内容：

pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY gedit

不会出现任何错误。这是正常的，因为man pkexec这件事非常清楚：

       [...] pkexec will not allow you to run X11 applications
       as another user since the $DISPLAY and $XAUTHORITY environment
       variables are not set.[...]

因此，您可以创建一个（永恒的) 别名（这是最简单的方法）：

alias pkexec='pkexec env DISPLAY=$DISPLAY XAUTHORITY=$XAUTHORITY'

或者，（再次）如man pkexec所说：

       [...] These two variables will be retained if the
       org.freedesktop.policykit.exec.allow_gui annotation on an action is set
       to a nonempty value; this is discouraged, though, and should only be
       used for legacy programs.[...]

您可以在/usr/share/polkit-1/actions名为的文件中创建一个新的策略文件com.ubuntu.pkexec.gedit.policy，其中包含以下 xml 代码，其中最重要的是设置org.freedesktop.policykit.exec.allow_gui为非空值：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE policyconfig PUBLIC
  "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
  "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
<policyconfig>

  <action id="com.ubuntu.pkexec.gedit">
    <message gettext-domain="gparted">Authentication is required to run gedit</message>
    <icon_name>gedit</icon_name>
    <defaults>
      <allow_any>auth_admin</allow_any>
      <allow_inactive>auth_admin</allow_inactive>
      <allow_active>auth_admin</allow_active>
    </defaults>
    <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/gedit</annotate>
    <annotate key="org.freedesktop.policykit.exec.allow_gui">true</annotate>
  </action>

</policyconfig>

如何告诉它在第一次应用命令后不要要求输入密码？

对于这三个设置标签：allow_any，allow_inactive并且allow_active从策略文件中，可以使用以下选项：

不：用户无权执行此操作。因此无需进行身份验证。
是的：用户无需任何身份验证即可执行该操作。
auth_self：需要身份验证，但用户不需要是管理用户。
管理员权限：需要以管理用户身份进行身份验证。
auth_self_keep：与auth_self但是，sudo授权只持续几分钟。
auth_admin_keep：与管理员权限但是，sudo授权只持续几分钟。

^{来源：Polkit - 结构 - 行动}

因此，如果你使用auth_admin_keep选项（或，如适用，auth_self_keep)，pkexec一段时间内不会再次要求输入密码（我检查过，默认情况下，这个时间设置为 5 分钟）。这里的缺点是，这个东西只适用于一个 - 同一个 - 命令/应用程序，并且对所有用户有效（除非在以后的配置中被否决）。

如果尚不存在，那么将配置文件保存在哪里？

配置文件或者说 polkit 定义可以分为两种：

操作在位于的 XML .policy 文件中定义/usr/share/polkit-1/actions。每个操作都附加了一组默认权限（例如，您需要以管理员身份使用 GParted 操作）。可以推翻默认设置，但编辑操作文件不是正确的方法。此策略文件的名称应采用以下格式：
```
com.ubuntu.pkexec.app_name.policy
```
授权规则在 JavaScript .rules 文件中定义。它们位于两个位置：第三方软件包可以使用/usr/share/polkit-1/rules.d（尽管很少有人使用）和/etc/polkit-1/rules.d用于本地配置。.rules 文件指定用户子集，引用操作文件中指定的一项（或多项）操作，并确定该用户/那些用户可以采取这些操作的限制。例如，规则文件可以否决所有用户在使用 GParted 时以管理员身份进行身份验证的默认要求，确定某些特定用户不需要这样做。或者根本不允许使用 GParted。

^{来源：Polkit——结构}

是否有一个 GUI 应用程序可以配置`pkexec`用法？

据我所知，到目前为止（2014 年 1 月 18 日）还不存在这样的事情。如果将来我发现了什么，我也不会忘记更新这个答案。

Answer