Von Synology habe ich bezüglich der Berechtigungen (root/user) folgende Mitteilung erhalten:
Code:
# START #
Yes, you may continue using root privilege ONLY if you apply a token from us to bypass the lower privilege setting this time round,
without which, your package installation would fail in DSM7.0 Beta. As mentioned in point 2 in my previous email:
To avoid future update issues, It is highly recommended that your package can be modified to match our new lower privilege framework.
Please develop according to the new developer’s guide provided, and your users will still be able to carry out manual installation even if the
package has yet to be approved and signed by Synology.
In case of development time or technical constraints, we provided a tentative alternative for the benefit of existing third-party packages in our Package Center.
To ensure that your current package remains functional in DSM7.0, you will be allowed to continue using the same privilege level settings for your new versions until further notice.
However, you have to apply for an exemption token from us to be able to develop smoothly on your NAS device.
Please note that your package will have to be officially approved and signed by Synology before your package can be released in our Package
Center or to users for manual installation.
If you wish to continue running as root rather than user, please follow the instructions below:
i) Log in to the DSM of NAS device(s) that you want to develop / test on
ii) Open Support Center ? Support Services ? Log Generation ? Check “System” ? Generate logs ? Download “debug.dat”
iii) Send this “debug.dat” to us by replying to this email (if you have more than one NAS device, please label the respective debug.dat clearly.)
iv) We’ll then send you the token file (each token is only valid for one specific NAS device), for which you’ll have to rename it to syno_dev_token and place it under this location ? /var/packages/
v) You are all set to develop the new version using your current privilege level setting.
Our ultimate goal is still hoping for all of our package developers to be able to abide by our new privilege setting in future versions.
# Ende #
Also, jetzt eine klare Botschaft. Die entsprechende Mailadresse für Anfragen dazu ist:
inquiries@synology.com
Zurück zum Thema 3rd Party Packages & Low Privileges:
Ich habe nun eine Jitsi Beta auf CPH geladen, die unter DSM7 Laufen sollte:
https://www.cphub.net/?p=jitsimeet (
@Matthieu bitte Freigeben).
Folgende Herausforderungen gibt es (Anmerkung: ich finde das Konzept richtig, ist halt Anfangs mühsam):
1) Installationsquelle: DSM7 akzeptiert das alte SPK Format nicht mehr, eine Packetquelle wie CPH aber schon (=>
https://github.com/SynoCommunity/spksrc/issues/4170). Damit kann ich nur lokal mit DSM6 Testen und werde wohl ein ModSSPKS brauchen (Kämpfe noch mit dem Aufsetzen)
2) User Package, System, User: ausser in Preinst läuft allse unter package, also normalem User. Ich verstehe das so das System gebannt ist, aber root noch gehen sollte. Ich würde auch dort Package nutzen, aber das Docker Load Tool von Syno und der Check auf freie Ports Laufen nur mit Root.
3) CGI Autentifizierung scheitert: obwohl Synology es anpreist, authenticate.cgi zu Nutzen (S. 85 im DSM/ Guide) funktioniert das nicht, denn die Datei gehört root und kann nicht ausgeführt werden. Abhilfe: man rollt die Syno CGI Module im target/ui aus, das aht automatisch die passenden Rechte.
4) Hacks mit Privileges und Docker: das war noch nicht alles, man kann keine Softlinks machen (bzw. stark eingeschränkt nur von bin auf target) und normalerweise kein Docker starten.. ABER wer Teil der docker Gruppe ist kann dann mit dem Docker Daemon reden und der ist im Container root (altes Docker Feature). Damit hab ich mir taktisch behoben und es zeigt eindrucksvoll: "Nie den Docker Daemon Port nach draussen geben und sparsam mit Gruppenrechten umgehen
"
Soweit so gut, jetzt bin ich gespannt, ob sich das Paket unter DSM7 installieren lässt, oder noch mehr Hacks nötig sind. - Stay Tuned
-TosoBoso
