AstraLinux低完整性级别虚拟显示器多用户会话启动异常排查

需求 #

在AstraLinux系统中，从user1的已运行会话里，在虚拟显示器上以低完整性级别启动user2的会话。

已实现内容 #

• 基于Go语言实现会话启动逻辑，包含LaunchService相关处理、Xvfb/fly-wm/pulseaudio的启动流程
• 完成PAM用户认证代码开发

问题现象 #

• 会话可正常启动，但通过pdp-id命令检测到完整性级别为高，不符合预期的低级别要求
• 尝试配置限制user2的最大完整性级别，无生效效果
• 手动启动fly-dm仅显示黑屏，无法正常加载桌面
• 日志中出现PolicyKit认证代理注册失败、ICE连接关闭等警告信息

排查与解决建议 #

1. 完整性级别强制生效配置检查 #

AstraLinux的完整性级别由PDP（Policy Decision Point）管控，需从核心配置入手：

• 检查user2的MLS属性：编辑/etc/security/pam_pdp.conf或用户属性文件，确认user2的最大完整性级别被设置为低级别（如low或对应标签），修改后执行pdp-reload使配置生效
• 启动会话前显式指定级别：在Go代码的LaunchService逻辑中，必须通过pdp-setlevel命令或libpdp API，在启动user2的会话进程前强制设置进程完整性级别，不能依赖用户默认配置。示例命令：

  pdp-setlevel low su - user2 -c "Xvfb :10 -screen 0 1024x768x16 & fly-wm :10"
  

• 跨级别启动权限检查：user1的会话为高完整性级别，需确保/etc/pdp/rules.d/下的规则允许user1启动低级别user2的会话，添加对应pdp-transition规则

2. fly-dm黑屏问题排查 #

• 检查Xvfb日志：查看/var/log/Xvfb.log，确认虚拟显示器是否成功创建，排查权限或配置错误
• 手动启动时指定完整环境：启动fly-dm前需设置DISPLAY变量指向Xvfb的显示器，同时确保user2家目录下的fly-wm配置文件权限正常、未损坏。示例：

  su - user2 -c "export DISPLAY=:10; Xvfb :10 -screen 0 1024x768x16 & sleep 2; fly-wm"
  

• 验证pulseaudio状态：虚拟会话音频服务启动失败可能导致桌面初始化异常，查看/var/log/pulseaudio.log确认服务运行状态

3. PolicyKit与ICE连接问题处理 #

• PolicyKit代理配置：低完整性级别会话默认无法访问系统级PolicyKit服务，编辑/etc/polkit-1/rules.d/50-user2.rules添加授权规则：

  polkit.addRule(function(action, subject) {
      if (subject.user === "user2" && subject.isInGroup("users")) {
          return polkit.Result.YES;
      }
  });
  

• ICE连接修复：ICE协议用于X11会话通信，启动Xvfb时添加-ac参数关闭访问控制，或执行xhost +local:user2授权user2访问虚拟显示器

4. Go代码关键修正点 #

• 在启动user2的会话进程前，先调用pdp-setlevel设置目标完整性级别，确保所有子进程继承低级别上下文
• 调整PAM认证逻辑，在PAM配置中添加pdp模块并指定级别限制参数
• 清理进程启动环境：避免继承user1的高级别环境变量，清空PDP_LEVEL等相关变量后再启动user2的会话

内容的提问来源于stack exchange，提问作者Михаил Герасимов