Решил я на досуге побаловаться Open Solarisом, благо, у меня пятилетний опыт работы с ним как с серверной ОС, и очень положительный опыт. А тут — Open Solaris, пригодный для установки на мой ноутбук, Live CD совершенно бесплатный — отчего бы не попробовать? В качестве тестовой машины использовался мой ноутбук 2005 года выпуска.
Скачал, нарезал, загрузился и по-хорошему офигел. Гномов десктоп красоты неописуемой смотрится веско и солидно. "Из коробки" определилась моя графическая карта, по умолчанию установлен правильный драйвер и максимальное разрешение.
Работает Wi-Fi, хотя для его настройки пришлось прибегнуть к командной строке — гуй вроде есть, но с моим вайфаем не работает. Вероятно, не умеет WPA2 аутентификацию делать.
Русский язык присуствует — и отображается, и позволяет печатать.
В состав LiveCD даже входит программа для снятия скриншотов — вероятно, чтобы можно было обзоры с картинками делать и баг-репорты слать, другого ей примения на read-only системе я не вижу.
Посмотрел я на все это великолепие, подергал за кнопочки и понял, что я хочу такую систему, ну прямо очень.
Запустил инсталлятор.
И дальше начинается леденящий душу трындец, другого цензурного слова у меня нет, как нет другой рифмы к слову "выборы".
Начнем с того, что средств для работы с разделами жесткого диска на LiveCD нет. Все, что умеет сделать инсталлятор — это использовать под Solaris либо существующий раздел, либо создать новый, если место есть. Я вот почему-то уверен, что 99% всех желающих поставить OpSol ставят его как вторую систему. И что им прикажете делать? Официальное руководство от Сан предлагает использовать Gparted. Но под Солярис порта не существует, надо скачивать зарузочный iso. Потрясающе.
Хорошо. Загружаю виндоус (в LiveСD функции записи на компакт не поддерживается, во всяком случае из gui — кнопка есть, но не работает), открываю сайт GParted — первое что вижу, большие красные буквы о том, что последняя версия при работе с ntfs убивает партицию, так что предлагаю скачать старую версию. Скачиваю старую версию — стомеговый iso, нарезаю новую болванку.
Загружаюсь в GParted, но подлец не может работать с NTFS-разделами! Какае-то странное сообщение от драйвера ntfs-3g о незнакомом типе ntfs — какой еще незнакомый тип? Система форматировалась в 2005 году!! — и в результате он монтирует раздел только на чтение. А раз только на чтение — то и разделы изменять нельзя. То есть уменьшить свой ntfs-раздел я не могу.
Плохо.
Ищу в интернете программу для изменения разделов под Windows. Нахожу, как ни странно абсолютно бесплатную и очень хорошую. Уменьшаю раздел, все проходит благополучно.
Снова загружаюсь с LiveCD. Инсталлятор предлагает создать Solaris-раздел в свободном месте, я соглашаюсь. Предупреждение — если использовать существующий раздел, все данные на нем будут уничтожены. Отмечаю этот факт, но пока не придаю ему значения.
Устанавливаю систему, все проходит хорошо, первая перезагрузка с жесткого диска.
Облом. Гуй не грузится, причем не грузится очень странно — экран в текстовом режиме, предлагает залогигниться, что я с успехом и делаю. Периодически экран моргает, становится черным и на нем бегут черные волны, потом возвращается обратно в текст. Такое ощущение, что он пытается переключиться в графический режим, но не может — драйвер не тот, или разрешение не то — ип возвращается обратно в текст, до следующей попытки.
Фигня война — думаю я. Хотя и странно, что LiveCD работает на ура, а инсталляция сбоит, наверняка проблема известная, сейчас быстренько прочту официальное руководство от Сан по настройке графического режима — благо, консоль, хоть и мерцает, но в принципе работоспособна.
Ага, как же. "Соси банан, мен" — как поют в одной замечательной песне суровые мужики из группы Корабль. Научная добросовестность не позволяет мне сказать, что такого руководства нету — скажу, что день, проведенный за гуглем не открыл мне его местоположение. Все, что удалось надыбать — полуторогодовой давности сообщение от пользователя с такой же проблемой на сановском форуме. Ответа с решением на это сообщение нет.
Так, хорошо. А как же наше великолепное сообщество OpenSource? Не пора ли обратиться к коллективному разуму? Регистрируюсь на двух форумах — официальном форуме на сайте OpSol и Линуксовом, в котором есть раздел по Солярису, задаю один и тот же вопрос, тщательно описывая симптомы. Проходят сутки, ни одного ответа ни на одном из двух.
Плохо. Отчаявшись, я решил прибегнуть к последнему средству — переустановить систему с LiveCD еще разочек.
Вот тут я как-то сразу и резко понял, что основной системой на моем ноуте OpSol не будет никогда. Инсталлятор не умеет выполнять неразрушающую инсталляцию, а значит, случись что с системой (например, такая вот фигня с графикой), я не смогу ее восстановить с сохранением данных и параметров из предыдущей. Это — жирнющий минус разработчикам, перевешивающий все возможные плюсы сразу и навсегда.
При всем при этом повторная установка решила проблему, в чем бы она не была. Gnome загружается и все вроде как неплохо... на первый взгляд.
На самом деле все ужасно.
Проблема номер 1. Монтирование ntfs-разделов. Официальная позиция Сан по поводу ntfs-разделов, вероятно, состоит в том, что их не существует в природе. Во всяком случае, официальные руководства о них умалчивают. См. выше мое замечание про вторую систему. Я не знаю, кем надо быть, чтобы не подумать о такой простой вещи. Гуглежка позволяет выяснить, что все-таки их смонтировать можно, и есть для этого два способа. Оба требует установить дополнительные пакеты из неофициальных репозиториев. Первый, однако, позволяет смонтировать ntfs-системы только на чтение, второй — требует ntfs-3g, и, памятуя о моем опыте с GParted, я как-то уверен, что с идеей записи чего-либо на ntfs-систему из-под OpSol стоит распрощаться. Печаль моя по этому поводу глубока и широка, как Днепр.
Проблема номер 2. Security. О, как я мечтал о надежной, защищенной ОС! Как я надеялся, что я смогу забыть, как страшный сон про все эти вирусы-шмирусы, которые ничего не смогут сделать, будучи запущенными под обычным пользователем — я же не буду работать под рутом! Наивный чукотский юноша.
Да, на первый взгляд приличия соблюдены — есть root, и есть все остальные пользователи. Более того, root — это роль, и "принять" ее могут только пользователи, которым эта роль заранее разрешена. Что, на самом деле, рождает интересный парадокс — если вдруг по какой-то причине я забуду пароль от обычного пользователя, которому эта роль разрешена, но буду помнить рутовый, мне это не поможет — залогиниться рутом нельзя, только сменить роль. А переустановить систему... см выше. Надежно, фиг ли.
Но это только так, цветочки. Ягодки состоят в том, что практически любое действие, выполняемое с компьютером, требует рутовых полномочий. Подключиться к WiFi? Рут. Смонтировать файловую систему? Рут. Перегрузиться? Рут. Какой к черту "принципал наименьшей привилегии"?! Даешь рутовые права всем и каждому. В результате, чтобы все это могло работать, по умолчанию обычный пользователь может запустить любую команду от рута, без ввода каких-то дополнительных паролей, просто предварив ее командой pfexec. Приветствуем вас, вирусы и трояны. Я вас очень жду на моей машине. Нет, я могу эту pfexec выключить, да — но тогда прощай флешки, прощай ви-фи, прощай перегрузка. Я понимаю, откуда растут ноги — система изначально серверная, и на сервере, действительно, ребутить и монтировать системы кому попало не положено. Но OpSol позиционируется как система для десктопа! Можно было заточить роли под это? Похоже, нельзя.
В общем, разочаровался я в ребятах, крепко разочаровался. Я, конечно, продолжу наблюдения, посмотрю, что там еще есть — но пока что отношение очень отрицательное. А сколько надежд было...
Здравствуйте, Vamp, Вы писали: V> Что, на самом деле, рождает интересный парадокс — если вдруг по какой-то причине я забуду пароль от обычного пользователя, которому эта роль разрешена, но буду помнить рутовый, мне это не поможет — залогиниться рутом нельзя, только сменить роль.
Single-user mode (как и в линуксе).
V>Подключиться к WiFi? Рут. Смонтировать файловую систему? Рут. Перегрузиться? Рут. Какой к черту "принципал наименьшей привилегии"?! Даешь рутовые права всем и каждому.
У обычного юзера на них прав нет (как и в линуксе). Эти операции должны выполняться либо через su/sudo, либо через демонов.
V>В результате, чтобы все это могло работать, по умолчанию обычный пользователь может запустить любую команду от рута, без ввода каких-то дополнительных паролей, просто предварив ее командой pfexec. Приветствуем вас, вирусы и трояны. Я вас очень жду на моей машине. Нет, я могу эту pfexec выключить, да — но тогда прощай флешки, прощай ви-фи, прощай перегрузка.
Pfexec, я так понял, не используется для временного повышения привилегий — а имеет какое-то отношение к солярисовскому rbac — т.е. у твоего юзера действительно есть права на все эти операции.
Итог:
1. Линуховый экспириенс во многом переносим на солярис — остается почитать про rbac.
2. прежде, чем ругать незнакомую систему, нужно немного подумать.
Здравствуйте, Mr.Cat, Вы писали: V>>Смонтировать файловую систему? MC>У обычного юзера на них прав нет (как и в линуксе).
Речь, конечно, идет о mount. Аналога линухового pmount я для соляриса не знаю — впрочем, я его и в глаза-то не видел.
MC>Single-user mode (как и в линуксе).
Так просто его не загрузить.
MC>У обычного юзера на них прав нет (как и в линуксе). Эти операции должны выполняться либо через su/sudo, либо через демонов.
А выполняются через pfexec. Я же подробно описал процесс.
MC>Pfexec, я так понял, не используется для временного повышения привилегий — а имеет какое-то отношение к солярисовскому rbac — т.е. у твоего юзера действительно есть права на все эти операции.
pfexec ЯКОБЫ имеет отношение к rbac. В реальности ролей там нет, под ролью понимается набор разрешенных команд. Например, роли "редактировать файл А" не бывает — если только ты не напишешь под нее специальный шелл-скрипт. У юзера прав нет, просто данный юзер прописан как имеющий право на pfexec all — все команды.
MC>1. Линуховый экспириенс во многом переносим на солярис — остается почитать про rbac.
Черт его знает, у меня его нету. Народ на форумах пишет, что не похоже.
MC>2. прежде, чем ругать незнакомую систему, нужно немного подумать.
Ты вообще не прочел, да?
Здравствуйте, Vamp, Вы писали: MC>>Single-user mode (как и в линуксе). V>Так просто его не загрузить. http://blogs.sun.com/observatory/entry/boot_into_single_user_mode
MC>>У обычного юзера на них прав нет (как и в линуксе). Эти операции должны выполняться либо через su/sudo, либо через демонов. V>А выполняются через pfexec. Я же подробно описал процесс.
Выполняются потому что у твоего юзера есть на это право. Не было б — не выполнялись.
V>pfexec ЯКОБЫ имеет отношение к rbac. В реальности ролей там нет, под ролью понимается набор разрешенных команд. Например, роли "редактировать файл А" не бывает — если только ты не напишешь под нее специальный шелл-скрипт. У юзера прав нет, просто данный юзер прописан как имеющий право на pfexec all — все команды.
Ну тогда это аналог беспарольного sudo. Опасаешься — отключи.
Здравствуйте, Vamp, Вы писали:
V>В общем, разочаровался я в ребятах, крепко разочаровался. Я, конечно, продолжу наблюдения, посмотрю, что там еще есть — но пока что отношение очень отрицательное. А сколько надежд было...
OpenSolaris — это Линукс пять лет назад. Нет ConsoleKit'а, нет PolicyKit'а и т.п.
MC>http://blogs.sun.com/observatory/entry/boot_into_single_user_mode
Я читал. Вот описанная последовательность событий — она НЕ ПРОСТАЯ. А в (невозможном) предположении, что на компьютере кроме ОпСол ничего не стоит, и посмотреть в инет нельзя — задача невыполнимая. Какзалось бы, что мешает добавить строку загрузки в GRUB по умолчанию?
MC>Выполняются потому что у твоего юзера есть на это право. Не было б — не выполнялись.
Ой-вей! Срываешь покровы. Я бы никогда не догадался, без этого ценного объяснения. Ты читал вообще, что я написал?
MC>Ну тогда это аналог беспарольного sudo. Опасаешься — отключи.
Да, я могу его отключить. И отключить флешки, вайфай и ребут. Очень прекрасно.
C>OpenSolaris — это Линукс пять лет назад. Нет ConsoleKit'а, нет PolicyKit'а и т.п.
Самое горькое, что казалось бы, все уже в системе есть, и требуется только правильно это настроить во время инсталляции. Ну кто мешает создать роль desktop_user и дать этой роли права подключать сетки, монтировать и перегружаться? И сделать ролевой доступ не через зад, как он сделан сейчас (реально разницы между ролями и пользователями нет, чтобы получить роль — надо сделать su), а нормально, как роль — чтобы один пользователь мог одновременно иметь более одной роли, и для этого не приходилось бы делать su.
Написать толковые справочники?
Добавить партишн-тул в LiveCD?
Научить инсталлер ставить систему, не разрушая то, что там было до этого?
Делов-то на копейки.
Здравствуйте, Vamp, Вы писали: MC>>http://blogs.sun.com/observatory/entry/boot_into_single_user_mode V>Я читал. Вот описанная последовательность событий — она НЕ ПРОСТАЯ.
А ты хочешь забыть все пароли — и чтоб тебе было просто? Давай еще пароль рута забудем, ключи от квартиры, домашний адрес и телефон?
А в (невозможном) предположении, что на компьютере кроме ОпСол ничего не стоит, и посмотреть в инет нельзя — задача невыполнимая. Какзалось бы, что мешает добавить строку загрузки в GRUB по умолчанию?
Видимо, считается, что single-user нужен только в экстренных случаях, и ты и без подсказки знаешь, что делать.
MC>>Ну тогда это аналог беспарольного sudo. Опасаешься — отключи. V>Да, я могу его отключить. И отключить флешки, вайфай и ребут. Очень прекрасно.
Используй su/sudo — я так понял, они в солярисе есть. По идее, флешки, вайфай, ребут должны давать гномовские и окологномовские демоны (туда же networkmanager запишем), чем они занимаются и под линухом. Если они у тебя этого не делают — хз, надо разбираться.
MC>А ты хочешь забыть все пароли — и чтоб тебе было просто? Давай еще пароль рута забудем, ключи от квартиры, домашний адрес и телефон?
В общем-то да. Я хочу, чтобы было просто. По-хорошему, система в однопользовательский режим должна загружаться вообще безо всякого пароля.
MC>Видимо, считается, что single-user нужен только в экстренных случаях, и ты и без подсказки знаешь, что делать.
Ну и зря это считается. Вот я, например, не знаю.
MC>Используй su/sudo — я так понял, они в солярисе есть.
Судо в солярисе как такового нет, надо ставить. Су есть, но он не помогают.
MC>По идее, флешки, вайфай, ребут должны давать гномовские и окологномовские демоны
Они это делают, наверное. И работают под рутом, что совершенно непонятно, зачем.
Здравствуйте, Vamp, Вы писали: MC>>Используй su/sudo — я так понял, они в солярисе есть. V>Судо в солярисе как такового нет, надо ставить. Су есть, но он не помогают.
Su не помогает? Хз, надо читать, по идее su должен давать рутовую консоль.
MC>>По идее, флешки, вайфай, ребут должны давать гномовские и окологномовские демоны V>Они это делают, наверное. И работают под рутом, что совершенно непонятно, зачем.
Ну какбы они традиционно с рутовыми правами запускаются, просто некоторые при отсутствии необходимости понижают свои привилегии.
Например, прав выключить машину у обычного юзера по идее нет, а демон-менеджер-сессий позволяет это делать через свое апи. Как-то так, кажется.
MC>Su не помогает? Хз, надо читать, по идее su должен давать рутовую консоль.
Он дает. Но если делать его без пароля — это нарушать защиту. А с паролем — лично меня напрягает вводить пароль всякий раз, когда я хочу к вай-фаю подключиться.
MC>Например, прав выключить машину у обычного юзера по идее нет, а демон-менеджер-сессий позволяет это делать через свое апи. Как-то так, кажется.
И чего в этом хорошего?
Здравствуйте, Vamp, Вы писали:
C>>OpenSolaris — это Линукс пять лет назад. Нет ConsoleKit'а, нет PolicyKit'а и т.п. V>Самое горькое, что казалось бы, все уже в системе есть, и требуется только правильно это настроить во время инсталляции. Ну кто мешает создать роль desktop_user и дать этой роли права подключать сетки, монтировать и перегружаться?
Это не так просто как кажется. В Линуксе из-за этого дошли в итоге к PolicyKit'у.
V>И сделать ролевой доступ не через зад, как он сделан сейчас (реально разницы между ролями и пользователями нет, чтобы получить роль — надо сделать su), а нормально, как роль — чтобы один пользователь мог одновременно иметь более одной роли, и для этого не приходилось бы делать su. V>Написать толковые справочники? V>Добавить партишн-тул в LiveCD? V>Научить инсталлер ставить систему, не разрушая то, что там было до этого? V>Делов-то на копейки.
Так говорю же — как в Линуксе пять лет назад... У разработчиков просто руки не доходят, а пользователей относительно немного, так что пинают слабо.
C>Это не так просто как кажется. В Линуксе из-за этого дошли в итоге к PolicyKit'у.
На мой взгляд, никакого бинома Ньютона в этом нет.
C>Так говорю же — как в Линуксе пять лет назад... У разработчиков просто руки не доходят, а пользователей относительно немного, так что пинают слабо.
А их больше с таким подходом не станет.
Здравствуйте, Vamp, Вы писали:
C>>Это не так просто как кажется. В Линуксе из-за этого дошли в итоге к PolicyKit'у. V>На мой взгляд, никакого бинома Ньютона в этом нет.
Просто если делать по роли на каждое действие, то их штук 30-40 запросто будет. Много слишком. А если делать одну большую роль, то она фактически будет аналогична руту.
C>>Так говорю же — как в Линуксе пять лет назад... У разработчиков просто руки не доходят, а пользователей относительно немного, так что пинают слабо. V>А их больше с таким подходом не станет.
Ну таки да, сейчас фокус всё-таки больше на Линуксе.
C>Просто если делать по роли на каждое действие, то их штук 30-40 запросто будет. Много слишком. А если делать одну большую роль, то она фактически будет аналогична руту.
Я бы по-простому скопировал с того, что сейчас есть в той же семерке. Простой пользователь должен уметь:
1. Включать/выключать/перегружать/гибернировать (солярка гибернировать, правда, не умеет) компьютер
2. Подключаться к любым сетям и отключаться от любых сетей. Соответственно, менять ip-адреса, менять авторизацию на беспроводной сетке, включать-выключать dhcp на адаптерах
3. Инсталлировать подписанные доверяемыми подписями пакеты
4. Монтировать любую файловую систему в специальное место
5. Переключать любые драйверы (при условии, что они уже установлены в системе)
Вот вроде как и все. Если чего забыл — поправь, но 40, вроде, не наблюдается.
На самом деле, на десктопе нужно ровно две роли — рут и простой мужик — но у простого мужика должны быть права, как см. выше. Больше ничего не надо.
C>Ну таки да, сейчас фокус всё-таки больше на Линуксе.
Линукс я не признаю. Мне надо, чтобы было как в солярке — вот тебе файловая система ZFS, вот тебе оконный менеджер — гном. А то в Линуксах слишком много свободы, я ее не люблю. Это уже не свобода, а фигня какая-то — 5 файловых систем! Это как если ты спрашиваешь дорогу из А в Б, а тебе начинают рассказывать — можно идти по переулку, а можно по бульвару, а можно кругом, а можно еще вот так... Нафиг надо.
Приветствую, Vamp, вы писали:
V> Я бы по-простому скопировал с того, что сейчас есть в той же семерке. Простой пользователь должен уметь: V> 1. Включать/выключать/перегружать/гибернировать (солярка гибернировать, правда, не умеет) компьютер
Есть такое
V> 2. Подключаться к любым сетям и отключаться от любых сетей. Соответственно, менять ip-адреса, менять авторизацию на беспроводной сетке, включать-выключать dhcp на адаптерах
networkmanager
V> 3. Инсталлировать подписанные доверяемыми подписями пакеты
Нет и не надо. Установка софта имхо должна быть только из рута
V> 4. Монтировать любую файловую систему в специальное место
Есть такое, например hal, у меня работает
V> 5. Переключать любые драйверы (при условии, что они уже установлены в системе)
Как это — переключать?
V>> 2. Подключаться к любым сетям и отключаться от любых сетей. Соответственно, менять ip-адреса, менять авторизацию на беспроводной сетке, включать-выключать dhcp на адаптерах S>networkmanager
Не согласен. Для этого нетман должен запускаться под рутом, а это лишнее. Чем меньше процессов в системе живут под рутом — тем лучше.
V>> 3. Инсталлировать подписанные доверяемыми подписями пакеты S>Нет и не надо. Установка софта имхо должна быть только из рута
Обоснуй. Для десктопа, подчеркиваю.
V>> 5. Переключать любые драйверы (при условии, что они уже установлены в системе) S>Как это — переключать?
Ну менять драйвер видеокарты, например.
