keyctl - Интернет в облаке

ПРОГРАММА:

ИМЯ

keyctl - Управление средствами управления ключами

СИНТАКСИС

клавишаctl --версия
клавишаctl показать [-x] [ ]
клавишаctl Добавить
клавишаctl падд
клавишаctl запрос [ ]
клавишаctl запрос2 [ ]
клавишаctl prequest2 [ ]
клавишаctl Обновить
клавишаctl куколка
клавишаctl новое кольцо
клавишаctl отозвать
клавишаctl Чисто
клавишаctl ссылка
клавишаctl разорвать связь [ ]
клавишаctl поиск [ ]
клавишаctl читать
клавишаctl трубка
клавишаctl Распечатать
клавишаctl список
клавишаctl rlist
клавишаctl описывать
клавишаctl r описать [сен]
клавишаctl Chown
клавишаctl chgrp
клавишаctl Setperm
клавишаctl новая_сессия
клавишаctl Сессия
клавишаctl сессия - [ ...]
клавишаctl сессия [ ...]
клавишаctl создать экземпляр
клавишаctl констатировать
клавишаctl отрицать
клавишаctl отклонять
клавишаctl тайм-аут
клавишаctl безопасность
клавишаctl пожинать [-v]
клавишаctl удалять
клавишаctl очистить [-i] [-p]
клавишаctl продувка
клавишаctl get_persistent [ ]

ОПИСАНИЕ

Эта программа используется для управления средством управления ключами различными способами с помощью
множество подкоманд.

KEY ИДЕНТИФИКАТОРЫ

Идентификаторы ключей, переданные или возвращенные из keyctl, как правило, являются положительными целыми числами.
Однако есть некоторые специальные значения со специальным значением, которые можно передавать как
аргументы:

(*) Нет ключа: 0

(*) Брелок с резьбой: @t or -1

У каждого потока может быть своя связка ключей. Это ищется в первую очередь перед всеми остальными. В
брелок потока заменяется на (v) fork, exec и clone.

(*) Брелок процесса: @p or -2

У каждого процесса (группы потоков) может быть своя связка ключей. Это делится между всеми участниками
группы, и поиск будет выполняться после связки ключей потока. Заменен технологический брелок
by (v) fork и exec.

(*) Брелок сеанса: @s or -3

Каждый процесс подписывается на связку ключей сеанса, которая наследуется через (v) fork, exec и
клон. Это ищется после связки ключей процесса. Связки ключей сеанса могут быть названы и
существующая связка ключей может быть присоединена вместо текущей связки ключей сеанса процесса.

(*) Брелок для конкретного пользователя: @u or -4

Эта связка ключей используется всеми процессами, принадлежащими конкретному пользователю. Это не
ищется напрямую, но обычно на него ссылаются из связки ключей сеанса.

(*) Пользовательский брелок сеанса по умолчанию: @нас or -5

Это связка ключей сеанса по умолчанию для конкретного пользователя. Процессы входа в систему, которые меняются на
конкретный пользователь будет связываться с этим сеансом до тех пор, пока не будет установлен другой сеанс.

(*) Брелок для конкретной группы: @g or -6

Это заполнитель для связки ключей, специфичной для группы, но на самом деле он еще не реализован.
в ядре.

(*) Предполагаемый ключ авторизации request_key: @a or -7

Это выбирает ключ авторизации, предоставленный помощнику request_key (), чтобы разрешить ему
доступ к связкам ключей вызывающих абонентов и создание экземпляра целевого ключа.

(*) Брелок по имени: %:

Именованный брелок. Это будет искать в связках ключей процесса и в / proc / keys.

(*) Обозначение по имени: % :

Именованный ключ данного типа. Это будет искать в связках ключей процесса и в
/ proc / keys.

КОМАНДА СИНТАКСИС

Любое однозначное сокращение имени команды может использоваться вместо полной команды.
имя. Это средство не должно использоваться в сценариях, поскольку в будущем могут быть добавлены новые команды.
что тогда вызывает двусмысленность.

(*) Дисплей домен пакет версия номер

клавишаctl --версия

Эта команда печатает номер версии пакета и дату сборки и завершает работу:

testbox> keyctl --version
keyctl из keyutils-1.5.3 (построен 2011 августа 08 г.)

(*) Показать процесс брелоки

клавишаctl показывать [-Икс] [ ]

По умолчанию эта команда рекурсивно показывает, на какие связки ключей подписан процесс и
какие ключи и брелоки они содержат. Если указана связка ключей, она будет
вместо этого свалил. Если -x указано, то идентификаторы связки ключей будут выгружены в шестнадцатеричном формате, а не в шестнадцатеричном формате.
десятичный.

(*) Добавить a ключ в a брелок

клавишаctl Добавить
клавишаctl падд

Эта команда создает ключ указанного типа и описания; создает его с помощью
данные и прикрепляет их к указанной связке ключей. Затем он печатает идентификатор нового ключа на
стандартный вывод:

testbox> keyctl добавить пользователя mykey stuff @u
26

Ассоциация падд вариант команды считывает данные из стандартного ввода, а не берет их из
командная строка:

testbox> echo -n stuff | keyctl padd пользователь mykey @u
26

(*) Запрос a ключ

клавишаctl запросить [ ]
клавишаctl запрос2 [ ]
клавишаctl предварительный запрос2 [ ]

Эти три команды запрашивают поиск ключа данного типа и описания. В
будет выполнен поиск связок ключей процесса, и если совпадение будет найдено, идентификатор совпадающего ключа будет
выводится на стандартный вывод; и если дана связка ключей назначения, ключ будет добавлен к этому
брелок тоже.

Если ключа нет, первая команда просто вернет ошибку ENOKEY и завершится ошибкой. В
вторая и третья команды создадут частичный ключ с типом и описанием, и
взывать к / sbin / запрос-ключ с этим ключом и предоставленной дополнительной информацией. Это будет
затем попытайтесь создать экземпляр ключа каким-либо образом, чтобы получить действительный ключ.

Третья команда похожа на вторую, за исключением того, что информация выноски считывается из
stdin, а не в командной строке.

Если будет получен действительный ключ, идентификатор будет напечатан, а ключ прикреплен, как если бы оригинал
поиск был успешным.

Если действительный ключ не получен, временный отрицательный ключ будет прикреплен к
брелок назначения, если он указан, и будет выдана ошибка «Запрошенный ключ недоступен».

testbox> keyctl request2 user debug: hello wibble
23
testbox> echo -n wibble | keyctl prequest2 пользовательская отладка: привет
23
testbox> keyctl запрос отладки пользователя: привет
23

(*) Обновление ПО a ключ

клавишаctl обновление
клавишаctl куколка

Эта команда заменяет данные, прикрепленные к ключу, новым набором данных. Если тип
ключ не поддерживает обновление, тогда будет возвращена ошибка «Операция не поддерживается».

testbox> keyctl update 23 зебра

Ассоциация куколка вариант команды считывает данные из стандартного ввода, а не берет их из
командная строка:

testbox> echo -n зебра | keyctl pupdate 23

(*) Создавай a брелок

клавишаctl новое кольцо

Эта команда создает новую связку ключей с указанным именем и прикрепляет ее к указанному
брелок для ключей. В случае успеха идентификатор нового брелка будет выведен на стандартный вывод.

testbox> keyctl newring squelch @us
27

(*) Отозвать a ключ

клавишаctl отзывать

Эта команда отмечает ключ как отозванный. Любые дальнейшие операции с этим ключом (кроме
отмена связи) вернет ошибку «Ключ был отозван».

testbox> keyctl revoke 26
testbox> keyctl describe 26
keyctl_describe: Ключ отозван

(*) Сбросить a брелок

клавишаctl Очистить

Эта команда разъединяет все ключи, прикрепленные к указанной связке ключей. Ошибка "Не
directory "будет возвращено, если указанный ключ не является связкой ключей.

testbox> keyctl clear 27

(*) Ссылка a ключ в a брелок

клавишаctl ссылке

Эта команда устанавливает связь от ключа к связке ключей, если для этого достаточно возможностей.
Ошибка «Не каталог» будет возвращена, если место назначения не является связкой ключей. Ошибка
"Permission denied" будет возвращен, если ключ не имеет разрешения на ссылку или
keyring не имеет разрешения на запись. Ошибка «Переполнение таблицы файлов» будет возвращена, если
брелок заполнен. Если попытка была предпринята, будет возвращена ошибка «Избежание взаимоблокировки ресурсов».
чтобы ввести рекурсивную ссылку.

testbox> keyctl ссылка 23 27
testbox> keyctl ссылка 27 27
keyctl_link: предотвращение блокировки ресурсов

(*) Unlink a ключ от a брелок or домен Сессия брелок дерево

клавишаctl разъединить [ ]

Если связка ключей указана, эта команда удаляет ссылку на ключ из связки ключей.
Ошибка «Не каталог» будет возвращена, если место назначения не является связкой ключей. Ошибка
«Permission denied» будет возвращено, если связка ключей не имеет разрешения на запись. Ошибка
«Нет такого файла или каталога» будет возвращено, если ключ не связан связкой ключей.

Если связка ключей не указана, эта команда выполняет поиск сеанса в глубину.
дерево ключей и удаляет все ссылки на назначенный ключ, которые он находит (и что это
разрешено удалить). Он печатает количество успешных отключений перед выходом.

testbox> keyctl unlink 23 27

(*) Поиск a брелок

клавишаctl по области применения [ ]

Эта команда нерекурсивно ищет в связке ключей ключ определенного типа и
описание. Если он найден, идентификатор ключа будет напечатан на stdout, а ключ будет
прикреплен к связке ключей назначения, если таковой имеется. Ошибка «Запрошенный ключ недоступен» будет
будет возвращен, если ключ не найден.

testbox> keyctl search @us user debug: hello
23
testbox> keyctl search @us user debug: пока
keyctl_search: запрошенный ключ недоступен

(*) Читать a ключ

клавишаctl читать
клавишаctl труба
клавишаctl Распечатать

Эти команды читают полезную нагрузку ключа. "read" выводит его на стандартный вывод как шестнадцатеричный дамп, "pipe"
выгружает необработанные данные в stdout и "print" выгружает их напрямую в stdout, если они полностью
для печати или как шестнадцатеричный дамп, которому предшествует ": hex:", если нет.

Если тип ключа не поддерживает чтение полезной нагрузки, появляется ошибка «Операция не
поддерживается "будет возвращено.

testbox> keyctl читать 26
1 байт данных в ключе:
62
testbox> keyctl print 26
b
testbox> keyctl pipe 26
btestbox>

(*) Список a брелок

клавишаctl список
клавишаctl список

Эти команды перечисляют содержимое ключа в виде связки ключей. "список" красиво печатает содержимое
а «rlist» просто создает список идентификаторов ключей, разделенных пробелами.

Не предпринимается никаких попыток проверить, является ли указанная связка ключей связкой.

testbox> список keyctl @us
2 ключа в брелоке:
22: vrwsl ---------- 4043-1 брелок: _uid.4043
23: vrwsl ---------- 4043 4043 пользователь: отладка: привет
testbox> keyctl rlist @us
22 23

(*) Описывать a ключ

клавишаctl описывать
клавишаctl r описать [сен]

Эти команды получают описание связки ключей. "описать" красиво печатает описание
так же, как команда "список"; "rdescribe" печатает необработанные данные, возвращенные из
ядро.

testbox> keyctl describe @us
-5: vrwsl ---------- 4043-1 связка ключей: _uid_ses.4043 testbox> keyctl
rdescribe @us keyring;4043;-1;3f1f0000;_uid_ses.4043

Необработанная строка " ; ; ; ; ", куда UID и GID являются
десятичные идентификаторы пользователя и группы, завивка это маска разрешений в шестнадцатеричном формате, напишите и описание Он
строки имени и описания типа (ни одна из которых не будет содержать точки с запятой).

(*) Изменить домен доступ контрольная on a ключ

клавишаctl Чаун
клавишаctl команда chgrp

Эти две команды изменяют UID и GID, связанные с оценкой разрешений ключа.
маска. UID также определяет, из какой квоты будет взят ключ.

Команда chown в настоящее время не поддерживается; попытка его выполнения приведет к ошибке "Операция
не поддерживается "в лучшем случае.

Для пользователей, не являющихся суперпользователями, GID может быть установлен только на GID процесса или GID в
список групп процесса. Суперпользователь может установить любой GID по своему усмотрению.

testbox> sudo keyctl chown 27 0
keyctl_chown: операция не поддерживается
testbox> sudo keyctl chgrp 27 0

(*) Поставьте домен Разрешения маска on a ключ

клавишаctl Setperm

Эта команда изменяет маску контроля разрешений на ключе. Маска может быть указана как
шестнадцатеричное число, если оно начинается с «0x», восьмеричное число, если оно начинается с «0», или десятичное число.
в противном случае.

Шестнадцатеричные числа представляют собой комбинацию:

UID владельца GID Предоставлено другое разрешение
======== ======== ======== ======== =================
01000000 00010000 00000100 00000001 Просмотр
02000000 00020000 00000200 00000002 Чтение
04000000 00040000 00000400 00000004 Запись
08000000 00080000 00000800 00000008 Найти
10000000 00100000 00001000 00000010 Ссылка
20000000 00200000 00002000 00000020 Установить атрибут
3f000000 003f0000 00003f00 0000003f Все

Вид позволяет просматривать тип, описание и другие параметры ключа.

Читать разрешает чтение полезной нагрузки (или списка связки ключей), если это поддерживается типом.

Написать позволяет изменять или обновлять полезную нагрузку (или список связки ключей).

Поиск на ключе позволяет найти его при поиске связки ключей, с которой он связан.

Ссылка позволяет связать ключ с связкой ключей.

Поставьте Атрибут позволяет ключу иметь владельца, членство в группе, маску разрешений и
тайм-аут изменен.

testbox> keyctl setperm 27 0x1f1f1f00

(*) Start a new Сессия свежий брелоки

клавишаctl Сессия
клавишаctl Сессия - [ ...]
клавишаctl Сессия [ ...]

Эти команды объединяют или создают новую связку ключей, а затем запускают оболочку или другую программу с
этот брелок в качестве сеансового ключа.

Вариант без аргументов просто создает анонимную связку ключей сеанса и присоединяет
это как связка ключей сеанса; это затем exec $ SHELL.

Вариант с тире вместо имени создает анонимный брелок сеанса и
прикрепляет это как связку ключей сеанса; затем выполняет предоставленную команду или $ SHELL, если
один не поставляется.

Вариант с указанным именем создает или объединяет именованный брелок и присоединяет его как
брелок сеанса; затем он выполняет предоставленную команду или $ SHELL, если она не указана.

testbox> keyctl rdescribe @s
keyring;4043;-1;3f1f0000;_uid_ses.4043

testbox> сеанс keyctl
Брелок подключенных сеансов: 28
testbox> keyctl rdescribe @s
keyring;4043;4043;3f1f0000;_ses.24082

testbox> сеанс keyctl -
Брелок подключенных сеансов: 29
testbox> keyctl rdescribe @s
keyring;4043;4043;3f1f0000;_ses.24139

testbox> сеанс keyctl - keyctl rdescribe @s
Брелок подключенных сеансов: 30
keyring;4043;4043;3f1f0000;_ses.24185

testbox> keyctl session fish
Брелок подключенных сеансов: 34
testbox> keyctl rdescribe @s
keyring;4043;4043;3f1f0000;fish

testbox> keyctl session fish keyctl rdesc @s
Брелок подключенных сеансов: 35
keyring;4043;4043;3f1f0000;fish

(*) Создать экземпляр a ключ

клавишаctl создать экземпляр
клавишаctl констатировать
клавишаctl NEGATE
клавишаctl отвергать

Эти команды используются для присоединения данных к частично настроенному ключу (созданному ядром
и передается в / sbin / request-key). "instantiate" помечает ключ как действительный и прикрепляет
данные как полезная нагрузка. «negate» и «reject» помечают ключ как недействительный и устанавливают тайм-аут
на нем, чтобы через некоторое время он исчез. Это предотвращает выполнение множества быстро следующих друг за другом
запросы на чрезмерное замедление работы системы, когда все они терпят неудачу, поскольку все последующие
запросы затем завершатся ошибкой «Запрошенный ключ не найден» (в случае отрицания) или указанной
ошибка (в случае отклонения) до истечения срока действия отрицательного ключа.

Аргумент ошибки отклонения может быть либо номером ошибки UNIX, либо одним из следующих значений:отклонены''истекший'
или же 'отозвана'.

Вновь созданный ключ будет прикреплен к указанной связке ключей.

Эти команды можно запускать только из программы, запущенной с помощью клавиши-запроса - специального
ключ авторизации устанавливается ядром и прикрепляется к сеансу запроса ключа
брелок для ключей. Этот специальный ключ аннулируется после создания экземпляра ключа, на который он ссылается.
так или иначе.

testbox> keyctl instantiate $ 1 "Debug $ 3" ​​$ 4
testbox> keyctl negate $ 1 30 $ 4
testbox> keyctl reject $ 1 30 64 $ 4

Ассоциация констатировать вариант команды считывает данные со стандартного ввода, а не берет их
из командной строки:

testbox> echo -n «Отладка $ 3» | keyctl pinstantiate $ 1 $ 4

(*) Поставьте домен истечение время on a ключ

клавишаctl Тайм-аут

Эта команда используется для установки тайм-аута для ключа или очистки существующего тайм-аута, если
указанное значение равно нулю. Тайм-аут выражается в секундах в будущем.

testbox> таймаут keyctl $ 1 45

(*) извлекать a ключ безопасность контекст

клавишаctl безопасность

Эта команда используется для получения контекста безопасности LSM ключа. Этикетка напечатана на
стандартный вывод.

testbox> keyctl security @s
неограниченный_у: неограниченный_р: неограниченный_т: s0-s0: c0.c1023

(*) Дайте домен родителя процесс a new Сессия брелок

клавишаctl новая_сессия

Эта команда используется, чтобы дать вызывающему процессу (обычно оболочке) новый сеанс.
keyring, отказавшись от своей старой связки ключей сеанса.

testbox> keyctl session foo
Брелок подключенных сеансов: 723488146
testbox> keyctl show
Связка ключей сеанса
-3 --alswrv 0 0 связка ключей: foo
testbox> keyctl new_session
490511412
testbox> keyctl show
Связка ключей сеанса
-3 --alswrv 0 0 связка ключей: _ses

Обратите внимание, что это влияет на родителя процесса, который вызывает системный вызов, и поэтому может
влияют только на процессы с соответствующими учетными данными. Кроме того, изменение не требует
эффект до тех пор, пока родительский процесс не перейдет из пространства ядра в пространство пользователя -
обычно, когда ждать() системный вызов возвращается.

(*) Удалить мертвый ключи от домен Сессия брелок дерево

клавишаctl пожинать

Эта команда выполняет поиск в глубину дерева связки ключей сеанса вызывающего абонента и
пытается разорвать связь с любым ключом, который, по его мнению, недоступен из-за истечения срока действия, отзыва,
отказ или отрицание. Он не пытается удалить живые ключи, которые недоступны
просто из-за отсутствия предоставленного разрешения.

Ключ, который обозначен как пригодный, будет удален из связки ключей только в том случае, если вызывающий
Разрешение на запись в эту связку ключей, и только связки ключей, которые предоставляют разрешение на поиск для
вызывающий абонент будет разыскиваться.

Команда выводит количество полученных ключей перед выходом. Если -v флаг передан
тогда пожнутые ключи перечисляются по мере того, как они пожинаются, вместе с успехом или
отказ от разрыва связи.

(*) Удалить согласование ключи от домен Сессия брелок дерево

клавишаctl удалять
клавишаctl очистить [-i] [-p]
клавишаctl продувка

Эти команды выполняют поиск в глубину, чтобы найти совпадающие ключи в сеансе вызывающего абонента.
дерево ключей и попытки разорвать их связь. Количество успешно отключенных ключей:
напечатано в конце.

Связки ключей должны предоставлять разрешение на чтение и просмотр вызывающему абоненту для поиска, а
ключи, которые необходимо удалить, также должны предоставить разрешение на просмотр. Ключи можно удалить только из
связки ключей, которые предоставляют разрешение на запись.

Первый вариант очищает все ключи указанного типа.

Второй вариант очищает все ключи указанного типа, которые также соответствуют заданному
описание буквально. Флаг -i разрешает совпадение независимо от регистра, а флаг -p позволяет
совпадение префикса.

Третий вариант очищает все ключи указанного типа и соответствующего описания с помощью
компаратор типа ключа в ядре, соответствующий описанию. Это позволяет тип ключа
чтобы сопоставить ключ с различными описаниями.

(*) Получить стойкий брелок

клавишаctl get_persistent [ ]

Эта команда получает постоянную связку ключей либо для текущего UID, либо для указанного UID.
и прикрепляет его к назначенному кольцу для ключей. Идентификатор постоянного брелка будет напечатан на
стандартный вывод.

Ядро создаст связку ключей, если она не существует, и каждый раз, когда эта команда
вызывается, сбросит таймаут истечения срока действия связки ключей до значения в:

/ proc / sys / ядро ​​/ ключи / persistent_keyring_expiry

(по умолчанию три дня). Если истечет время ожидания, постоянная связка ключей будет
удаляется, и все, что он прикрепляет, может быть собрано мусором.

Если указан UID, отличный от реального или эффективного UID процесса, то будет выдана ошибка.
быть заданным, если процесс не имеет возможности CAP_SETUID.

ОШИБКИ

Эта программа возвращает ряд типичных ошибок:

«Не каталог» - ключ не был связкой ключей.

«Запрошенный ключ не найден» - искомый ключ недоступен.

«Ключ был отозван» - получен доступ к отозванному ключу.

«Срок действия ключа истек» - был осуществлен доступ к ключу с истекшим сроком действия.

«Permission denied» - разрешение было отклонено комбинацией UID / GID / маски.

Используйте keyctl онлайн с помощью сервисов onworks.net