Hola, Eloi > Acabo de recordar que fa un temps (oldstable o fins i tot > oldoldstable) hi va haver un canvi important a la comanda su, > bàsicament hi havia dues implementacions i es va canviar d'una > a l'altra per defecte, que tenia algunes subtileses. Crec que > es va documentar a les release notes corresponents, a veure si > quan pugui ho trobo i ho enllaço. Jo també ho recordava però només he trobat aquest petit comentari a les notes d'alliberament de Debian 10 (he remuntat fins a la 8, no he mirat més enrere): https://www.debian.org/releases/buster/amd64/release-notes/ch-information.en.html#su-environment-variables «su has changed semantics in buster and no longer preserves the user environment variables DISPLAY and XAUTHORITY. If you need to run graphical applications with su, you will have to explicitly set them to allow access to your display. See bug #905409 for an extensive discussion.» > Una de les recomanacions que vaig llegir aleshores era usar la > comanda "runuser" quan qui l'executa ja és root, doncs desescala > a qualsevol usuari sense demanar autenticació mentre que la > resta d'usuaris no la poden executar. Això no recordo haver-ho llegit però ho acabo de provar i funciona bé: no demana contrasenya encara que comenti l'entrada del pam_rootok al /etc/pam.d/runuser. > No tinc clar si funcionaria en aquest escenari específic que > s'ha descrit ni si la presumpció que els postinst s'executen > amb permisos de root és sempre certa, per tant no puc valorar > si el canvi de su a runuser seria una solució adequada per al > paquet. Vist que tant su com runuser pertanyen a util-linux, trobo que seria una bona idea suggerir als mantenidors del postgresql que utilitzin runuser enlloc de su per a fer les comprovacions del postinst. En aquest sentit, crec que la millor manera de fer-ho és obrir un bug. Salut, Alex -- ⢀⣴⠾⠻⢶⣦⠀ ⣾⠁⢠⠒⠀⣿⡁ Alex Muntada <alexm@debian.org> ⢿⡄⠘⠷⠚⠋ Debian Developer 🍥 log.alexm.org ⠈⠳⣄⠀⠀⠀⠀
Attachment:
signature.asc
Description: PGP signature