¿Cómo establecer la capacidad CAP_SYS_NICE para un usuario de Linux?

Question

Mi programa está utilizando la llamada al sistema Linux setpriority() para cambiar las prioridades de los hilos que crea. Necesita establecer prioridades negativas (-10) pero, como se menciona en la documentación, esto falla cuando se ejecuta como un usuario normal.

El usuario necesita la capacidad CAP_SYS_NICE para poder establecer las prioridades como lo desee, pero no tengo idea de cómo dar esa capacidad al usuario.

Así que mi pregunta: ¿cómo configurar la capacidad de CAP_SYS_NICE a un usuario de Linux?

Answer 1

Jan Hudec tiene razón en que un proceso no puede darse a sí mismo una capacidad, y una envoltura setuid es la forma obvia de obtener la capacidad. Además, tenga en cuenta que necesitará prctl(PR_SET_KEEPCAPS, ...) cuando suelte la raíz. (Consulte la página del manual prctl para obtener más información). De lo contrario, abandonará la capacidad cuando haga la transición a su ID de usuario real no raíz.

Si realmente quiere poner en marcha sesiones de usuario con un buen nivel permitido diferente, usted podría ver las páginas man pam_limits y limits.conf, como el módulo pam_limits le permite cambiar el límite buen disco. Podría ser una línea como: sudo

yourspecialusername hard nice -10 

Answer 2

AFAIK No es posible obtener una capacidad. Los procesos raíz tienen todas las capacidades y pueden renunciar a ellos, pero una vez que se abandonan, no se pueden recuperar. Por lo tanto, necesitará un contenedor suid-root que ceda todas las demás capacidades y ejecute el proceso.

Answer 3

Con respecto, he añadido el usuario así:

niceuser ALL=NOPASSWD:/usr/bin/nice 

Y entonces funcionó bien:

niceuser@localhost $ nice 
0 
niceuser@localhost $ sudo nice -n -10 nice 
-10 

Answer 4

Hay una bonita utilidad práctica para establecer capacidades en un archivo binario: setcap. Esto debe ejecutarse como root en el binario de su aplicación, pero una vez configurado, puede ejecutarse como un usuario normal. Ejemplo:

$ sudo setcap 'cap_sys_nice=eip' <application> 

Puede confirmar qué capacidades están en una aplicación que utiliza getcap:

$ getcap <application> 
<application> = cap_sys_nice+eip 

me gustaría sugerir la integración de las capacidades en su makefile en la línea de instalar, lo que normalmente se ejecuta como root en cualquier caso . Tenga en cuenta que las capacidades no se pueden almacenar en un archivo TAR ni en ningún formato de paquete derivado. Si luego hace el paquete de su aplicación, necesitará un script (postinst para paquetes Debian) para aplicar la capacidad en el despliegue.