Здравствуйте, уважаемые читатели моего блога!
Сегодня я поделюсь с Вами очередной любопытной историей из опыта администрирования операционной системы Astra Linux SE 1.7.
Как-то раз ко мне обратился читатель моего блога с ничем не примечательной на первый взгляд проблемой. Звучала она так — «раньше рабочий стол был красный, теперь стал синий, также система выдаёт сообщение о вероятной проблеме со свободным местом на диске».
Ну думаю — поставили низкий уровень целостности и не знают, как выбрать высокий. Решаю быстро проконсультировать, но оказывается, меню выбора режимов у пользователя не появляется.
Думаю, что просто заходят не с той учётной записи. Прошу выполнить команду:
cat /etc/passwdИ вижу единственного пользователя с 1001 uid. Очень странно. Интересно, а пользователь входит в astra-admin? Прошу выполнить команду:
sudo -iПользователь вводит пароль и входит в учётную запись root. Но без высокого уровня целостности это ничего нам, разумеется, не даёт.
Мне становится интересно, как же получилась такая ситуация. Разворачиваю виртуальную машину, захожу в пользователя, включенного в группу astra-admin, и пытаюсь изменить его высокий уровень целостности на низкий.
Получаю сообщение:
Логично, защита от «дурака» в действии. Но как же смогли поломать проблемную систему? Создаю другого администратора, устанавливаю низкий уровень целостности. После этого пытаюсь тут же снизить свой собственный уровень целостности до низкого. Опять получаю сообщение выше.
Мда… А если попробовать себя удалить? В точку. При удалении самого себя получаем следующее сообщение:
При этом пользователь остаётся живым, но целостность слетает до низкой.
Получается удаление самого себя обходит защиту от «дурака». Прям вижу двух сотрудников ГК «Astra Linux», которые говорят:
— А если они попробуют снизить себе МКЦ?
— Выведем сообщение и не дадим это сделать!
— А если пользователь попробует сам себя удалить?
— Не может быть — чушь какая-то!
— Согласен!
Собственно, как это получилось, я понял. Остался вопрос — что с этим делать?
На самом деле задача тривиальная — нужно зайти через загрузчик GRUB и создать файл пользователя /etc/parsec/micdb/1001 с содержимым «username:3f». Иными словами, выполнить команду:
echo "username:3f" > /etc/parsec/micdb/1001Если только у пользователя есть логин и пароль от GRUB 🙂
Говорю зайти в GRUB, пользователь ввёл пароль и всё… получилось. «Странно, что всё получилось так просто» — подумал я, и зря. Ввели init=/bin/bash, появилась оболочка, но не заработала клавиатура.
Первый раз такое вижу. Полазили в настойках NUMA BIOS — клавиатура не заработала. Бывают подобные проблемы из-за параметра USB Legacy, но это касается только USB клавиатур. Пользователь осматривает моноблок на наличие разъёма PS/2. Присылает фотографию:
Ну думаю, загрузимся с флешки, зайдём в режим восстановления и дело с концом.
Операционная система была установлена на моноблоке, в комплекте шёл диск с Astra Linux. Решили использовать его. Жду ответа от пользователя — присылает фотографию моноблока — DVD-ROM отсутствует :). Внешнего DVD-ROM’а тоже нет.
Ну ладно, загрузимся с флешки. Так как используем режим восстановления, подойдёт любая версия операционной системы. Скачали образ SE 1.6 (первый попавшийся) с интернета, записали на флешку с помощью Rufus, загрузились. Жду ответа от пользователя — присылает фотографию экрана.
Закрываю ладонью глаза — виной всему версия ядра (ранее писал об этом здесь). Нужен образ новее. Скачиваем SE 1.7, записываем на флешку и загружаемся.
Всё получается, заходим в «режим восстановления», там монтируем корневую систему, выбираем устройство sda1 и ошибаемся, вместо корневой выбрали EFI раздел.
Ничего страшного, выходим, пользователь монтирует устройство sda2 и получает ошибку.
Со слов пользователя, на sda3 такая же ошибка. Устройства закончились :), но ничего страшного по-прежнему не случилось — монтируем sda1 и смотрим, какие разделы существуют в системе:
fdisk -lОказывается, что sda1 — EFI, sda2 — корневая файловая система (всё в одном), sda3 — SWAP.
Создаём точку монтирования и монтируем sda2 вручную:
mkdir /target1
mount /dev/sda2 /target1И… О чудо — вручную всё проходит в штатном режиме. Пользователь вводит команду и создаёт высокий уровень целостности для своего пользователя:
echo 'username:3f' > /target1/etc/parsec/micdb/1001Далее перезагружаем компьютер, появляется выбор высокого уровня целостности и пользователя встречает красный экран. Победа.
Забавно, что до возникновения этой ситуации пользователь не имел дела с командной строкой операционной системы, но всё же смог под моим руководством восстановить работу Astra Linux (а после записался к психотерапевту — шутка :))
Всем хорошего дня! До новых встреч.