"Ведомые" учетные записи пользователей в GNU/Linux

Question

Как сделать так, чтобы одна учетная запись пользователя была похожа на root для другой учетной записи пользователя, например, чтобы иметь возможность читать, записывать, изменять все свои файлы, выбирать из этой учетной записи мастер и обратно, уничтожать / отслеживать все свои процессы и для всех считает root может, но ограничивается только этим конкретным slave аккаунтом?

Теперь я имитирую это, разрешая " основному " пользователю sudo -u slaveuser и устанавливая setfacl -dRm u:masteruser:rwx ~slaveuser .

Это полезно, так как я запускаю большинство настольных программ в отдельных учетных записях пользователей, но иногда приходится перемещать файлы между ними.

Если для этого требуется простой патч ядра, все в порядке.

PS тег "selinux" не означает, что я хочу решить его с помощью SELinux, он просто несколько связан.

Answer 1

Традиционная модель безопасности Unix просто не поддерживает то, что вы хотите. root может делать все, а все остальные пользователи создаются равными. Сложные отношения между пользователями, как правило, требуют много работы от root .

Один из возможных подходов заключается в воссоздании вашей собственной системы Linux внутри какой-либо виртуальной машины, либо с использованием подхода linux-on-linux, такого как User Mode Linux или VServer, либо с универсальной виртуальной машиной, такой как qemu/kvm или virtualbox. Внутри виртуальной машины у вас будет root-доступ, и вы сможете комфортно запускать каждое приложение от имени другого пользователя.

Вы даже можете запускать каждое приложение на отдельной облегченной виртуальной машине (VServer, вероятно, наиболее подходит для этого). Проект OLPC (один ноутбук на ребенка) попробовал его и нашел удовлетворительную производительность, но позже отказался от идеи, я не знаю почему (возможно, обмен данными между приложениями был слишком громоздким?).