Recharger les affectations de groupe d'un utilisateur Linux sans se déconnecter

Lors de l'affectation de la liste de groupes secondaires d'un utilisateur à l'aide de:

# usermod -G <grouplist> <user>

Est-il possible de forcer cette affectation de groupe à prendre effet sans se déconnecter de toutes les sessions en cours d'exécution?

Cela serait très utile dans le cas où une session Screen existe avec plusieurs shells en cours d'exécution, car la session entière doit essentiellement être détruite pour que l'attribution de groupe prenne effet.

Je pense que je peux changer le groupe principal de l'utilisateur dans un shell en cours d'exécution à l'aide de la newgrpcommande - existe-t-il une alternative qui fonctionnerait pour les groupes secondaires?

Idéalement, je voudrais quelque chose qui prend effet dans chaque shell sans être exécuté manuellement dans chaque, mais sans cela, peut-être une façon de forcer Screen à exécuter la même commande dans chaque.

Horriblement hacky, mais vous pouvez utiliser deux couches newgrppour y parvenir pour un groupe particulier:

id -g

... vous donnera l'ID du groupe principal actuel. Nous appellerons cela orig_groupaux fins de cet exemple. Ensuite:

newgrp <new group name>

... vous basculera vers ce groupe en tant que principal et l'ajoutera à la liste des groupes renvoyés par groupsou id -G. Maintenant, un autre:

newgrp <orig_group>

... vous obtiendrez un shell dans lequel vous pouvez voir le nouveau groupe et le principal est l’original.

C’est horrible et ne vous ajoutera qu’un groupe à la fois, mais cela m’a aidé plusieurs fois à obtenir l’ajout de groupes sans fermeture de session / dans toute ma session X (par exemple, l’ajout d’un fusible en tant que groupe à un utilisateur). de sorte que sshfs fonctionnera).

Edit: Cela ne vous oblige pas à taper votre mot de passe non plus, ce qui susera.

A partir d'un shell, vous pouvez lancer la commande suivante

su - $USER

id va maintenant lister le nouveau groupe:

id

Cette astuce de ce lien fonctionne très bien!

exec su -l $USER

Je me suis dit que je le posterais ici car chaque fois que j'oublie comment faire cela, c'est le premier lien qui apparaît dans Google.

1. Obtenir un shell avec le nouveau groupe sans vous déconnecter et vous reconnecter

Si vous ajoutez seulement un groupe, j'ai utilisé ce qui suit:

exec sg <new group name> newgrp `id -gn`

Il s'agit d'une variante de l'astuce newgrp à deux couches de Legooolas, mais elle est sur une seule ligne et ne vous oblige pas à entrer manuellement votre groupe principal.

sgest newgrp mais accepte une commande à exécuter avec le nouvel ID de groupe. Les execmoyens que la nouvelle coquille remplace la coque existante, de sorte que vous ne avez pas besoin de « déconnecter » deux fois.

Contrairement à l'utilisation de su, vous n'avez pas besoin de saisir votre mot de passe. De plus, cela n’actualise pas votre environnement (autre que l’ajout du groupe), vous conservez donc votre répertoire de travail actuel, etc.

2. Exécution de la commande dans toutes les fenêtres d'écran d'une session

La atcommande dans Screen exécute une commande dans toutes les fenêtres que vous spécifiez (notez qu'il s'agit d'une commande Screen, pas d'une commande shell).

Vous pouvez utiliser la commande suivante pour envoyer la commande à toutes les sessions Screen existantes:

screen -S <session_name> -X at \# stuff "exec sg <new_group_name> newgrp \`id -gn\`^M"

Notez la nécessité d'échapper aux jeux de hasard pour pouvoir ids'exécuter dans la session Screen et au ^ M pour que Screen frappe à «entrée» à la fin de votre commande.

Notez également que la stuffcommande de screen tape simplement le texte de la commande en votre nom. Par conséquent, quelque chose d'étrange peut se produire si l'une des fenêtres de l'écran a une commande à moitié écrite à l'invite de commande ou si elle exécute une application autre qu'un shell (par exemple, emacs, en haut). Si c'est un problème, j'ai quelques idées:

• Pour vous débarrasser de toute commande à moitié écrite, vous pouvez ajouter "^ C" au début de la commande.
• Pour éviter d'exécuter la commande dans une fenêtre emacs, etc., vous pouvez demander à «at» de filtrer le titre de la fenêtre, etc. (dans l'exemple ci-dessus, j'utilise "#", ce qui correspond à toutes les fenêtres. , etc).

Pour exécuter la commande dans une fenêtre spécifique (identifiée par le numéro de la fenêtre), utilisez les éléments suivants:

screen -S <session_name> -p 0 -X stuff "exec sg <new_group_name> newgrp \`id -gn\`^M"

L'utilisation de la newgrpcommande a résolu le problème pour moi:

newgrp <GroupName>

Ce blog a une explication détaillée.

Les groupes sont généralement énumérés lors de la connexion. À ma connaissance, il n’ya aucun moyen de le forcer à refaire l’énumération des groupes sans se déconnecter et y revenir.

Beaucoup de réponses votées ici semblent utiliser une solution de contournement qui invoque un nouveau shell avec un nouvel environnement (identique à la connexion à nouveau). Le shell parent et tous les autres programmes en cours d'exécution ne recevront généralement pas la nouvelle appartenance au groupe tant qu'ils n'auront pas été ré-invoqués à partir d'un nouveau shell, généralement après la déconnexion et la connexion.

Tu peux le faire.

Ajoutez autant de groupes que vous voulez en utilisant usermod -G. Puis, comme l'utilisateur avec une session en cours d' exécution, exécutez newgrp -avec juste l'argument - « ».

Cela réinitialise l'ID de groupe à la valeur par défaut, mais cela définira également les groupes secondaires. Vous pouvez le vérifier en exécutant à groupspartir de la session en cours, avant et après le usermodet le newgrp.

Cela doit être exécuté à partir de chaque session ouverte - je ne connais pas grand chose à l'écran. Cependant, s'il est possible de parcourir toutes les sessions ouvertes et de l'exécuter newgrp, vous devriez être bon. Vous n'aurez pas à vous soucier de connaître les groupes ou les identifiants de groupe.

Bonne chance à vous.

Résumer:

exec newgrp <newlyaddedgroupname1>
exec newgrp <newlyaddedgroupname2>
...
exec newgrp -

Utiliser 'exec' signifie remplacer le shell existant par le nouveau shell démarré par la commande newgrp (vous devez donc quitter le nouveau shell pour vous déconnecter).

La version finale newgrp -est nécessaire pour restaurer votre groupe principal normal. Par conséquent, les fichiers que vous créez ultérieurement ont pour propriétaire.

Remarque: la question de l'affiche originale était de savoir comment rendre visibles les groupes nouvellement ajoutés dans les processus existants. Les commandes gpasswdet usermodn'affectent pas les processus existants; les groupes nouvellement ajoutés (ou supprimés!) apparaissent dans (disparaissent) de votre compte, c'est-à-dire dans les fichiers / etc / group et / etc / gshadow, mais les autorisations pour les processus existants ne sont pas modifiées. Pour supprimer des autorisations, vous devez tuer tous les processus en cours d'exécution. newgrp -ne relira pas / etc / group et ne réinitialisera pas la liste des groupes; au lieu de cela, il semble simplement utiliser les groupes précédemment associés au processus.

J'ai eu le même problème, mais aussi pour les utilisateurs non connectés. Reprise de nscd n'a pas aidé, mais l' exécution de cette commande fait: nscd -i group. Cela devrait indiquer à nscd (démon de mise en cache) de recharger le fichier de groupes.

Je ne pouvais pas faire fonctionner la commande newgrp. Je ne sais pas si cela dépend de / etc / sudoers, mais je dois normalement taper mon mot de passe pour sudo, et cela a fonctionné sans avoir besoin de mon mot de passe:

[leo60228@leonix:~]$ groups
users wheel

[leo60228@leonix:~]$ sudo echo hi
[sudo] password for leo60228:
hi

[leo60228@leonix:~]$ sudo -k # reset sudo timeout

[leo60228@leonix:~]$ exec sudo -i -u $(whoami) # no password necessary

[leo60228@leonix:~]$ groups
users wheel docker

Si vous en possédez une sudo, cela vous évitera de saisir votre mot de passe dans certains cas:

sudo su $USER