Как в Linux ограничить юзеру изменение панелей и тд?

Question

[unbelieve]

Привет.
Есть устройства с линукс (если важно: ред ос kde).
В этих устройствах ограниченные по правам юзеры. Т.е. без sudo.
Как этим юзерам ограничить изменение панелей, фона рабочего стола и прочих штук?
Гугл приводит ответы только про sudo. Это не то, совершенно не то.
Пока были мысли только про chmod.
Буду рад вашим мыслям.

Answer 1

[Александр]

Я бы сделал overlay fs с изменениями в оперативке - пусть хоть что меняют. Ребут и снова все красиво.

Comments

[unbelieve]

уже битый час гуглю. Ничего полезного не могу найти про этот overlayfs. Нет понятных инструкций, рабочих примеров. Половина результатов про найденную уязвимость.
Есть ссылки на хорошие примеры?

[rPman]

если речь о временных изменениях, то достаточно восстанавливать домашний каталог пользователя после завершения сеанса

скрипт очистки каталога можно разместить в профиле пользователя, в виде сервиса или pam модуля /etc/pam.d/logout

[loheb]

chmod -w ~/.config/plasma-org.kde.plasma.desktop-appletsrc

Александр, зачем усложнять, когда решается проще некуда?

Answer 2

[Петровский]

Для этого графическая оболочка должна быть написана с оглядкой на возможные права пользователей, или, скорее, на права другого рода: на "политики". sudo/chmod и т. д. — это вещи совершенно другого уровня.

Нечто подобное есть в оболочке Fly у Astra. В KDE ничего подобного вы не найдёте.

Как вариант, при очередном логине можно перезатирать соответствующие части конфигов, но корректно это сделать будет сложно. Как вариант, вам нужен kiosk-mode.

Comments

[loheb]

В целевом дистрибутиве киоск есть из коробки. Я даже не знал о его существовании.
https://redos.red-soft.ru/base/redos-7_3/7_3-admin...

В KDE даже не знал, что с помощью четырёх символов [$i] можно столь серьёзно настроить глобально https://develop.kde.org/docs/administration/kiosk/...
Надо будет изучить хорошенько, а то я столь глубоко не копал.

Answer 3

[AlexVWill]

Наверное самым действенным методом (для защиты от непродвинутых юзеров) будет блокировка приложения Settings.
Надо выяснить какое приложение отвечает за изменение системных настроек и запретить пользователю к ним доступ через chmod / chown

Comments

[loheb]

Непосредственно Plasmashell за эти настройки отвечает.

Answer 4

[Виктор]

chattr
проверено xfce icewm

Answer 5

[loheb]

Никак. Этими настройками занимается plasmashell. Если вы его ограничите на запуск, будет весело. Изменения сохраняются в файле ~/.config/plasma-org.kde.plasma.desktop-appletsrc. Plasmashell вышеназванный конфиг читает только при старте. Если запретить в него что-то записывать, можно изменять настройки до конца сеанса как угодно, они в памяти будут висеть и по окончанию сеанса не будут сохранены.

Настройка виджета "Рабочий стол по умолчанию" -> "Действие мышки" -> На правую клавишу повесить "Меню запуска приложений".
ПКМ по кнопке запуска "Меню приложений" -> "Редактировать меню" -> Удалить запись "Настройка" со всем содержимым. Можно даже вовсе удалить кнопку "Меню приложений".
На дурака уже достаточно мер.