Berechtigungen von Flatpak-Anwendungen in TUXEDO OS bearbeiten - TUXEDO Computers

Mit KDE Plasma 5.27 erhielt dessen Systemsteuerung ein Modul für die Vergabe und Bearbeitung von Rechten für Flatpaks. Damit wurde die bereits gute Integration von Flatpaks in KDE Plasmas Paketshop Discover nochmals verbessert und steht somit auch Ihnen als Anwender von TUXEDO OS zur Verfügung.

Warum benötigen Flatpaks gesonderte Rechte?

Flatpaks sind containerisierte Anwendungen, die ohne zusätzliche Berechtigungen nicht mit dem Rest des Systems interagieren können. Ohne Rechte können Flatpaks weder drucken, Sound abspielen noch Dateien erstellen oder in anderer Weise auf das Dateisystem zugreifen. Ein Beispiel ist der KDE-Musikplayer Elisa, der im Auslieferungszustand nur Sammlungen hinzufügen kann, die im Home des Anwenders liegen.

Welche Rechte ein Flatpak von Hause aus mitbringt, entscheidet der Ersteller des Containers. Das kann der Entwickler der Anwendung sein, aber auch jeder, der ein Flatpak erstellen kann. Es werden Flatpaks ausgeliefert, die kaum Rechte haben als auch solche, die mehr dürfen, als gut und notwendig ist. Das geht dabei oft an den Vorgaben der Flatpak-Entwickler vorbei, die vorsehen, dass Flatpaks im Auslieferungszustand etwa keinen Zugriff auf Systemprozesse oder das Netzwerk und vieles mehr haben. Die empfohlenen Rechte beschränken sich auf das Home des Anwenders und den Zugriff auf die App selbst und deren Laufzeitumgebung.

Wie lassen sich Flatpak-Berechtigungen einsehen und editieren?

Auf der Kommandozeile lassen sich die Berechtigungen eines Flatpak anzeigen:

flatpak info --show-permissions

Die Flatpak-ID sehen Sie mit:

flatpak list

Sie können auf diesem Weg auch Berechtigungen erteilen. Um das Beispiel von Elisa aufzugreifen, geben Sie Zugriff auf eine Sammlung außerhalb Ihres Home beispielsweise mit:

sudo flatpak override PAKETNAME --filesystem=/media/john/music/

Berechtigungen grafisch bearbeiten

Wer die grafische Bearbeitung bevorzugt, konnte bisher auf die externe Anwendung Flatseal zurückgreifen, die als Flatpak installiert rund 200 MByte Platz benötigt. Diese wird nun für KDE-Anwender durch ein neues Modul für die Systemeinstellungen des Plasma-Desktops ergänzt. Es findet sich dort im Reiter Anwendungen unter Flatpak Permission Settings.

Noch ist das neue Modul nicht ins Deutsche übersetzt. Deshalb hören die Kategorien derzeit noch auf die Bezeichnungen Basic Permissions, Filesystem Access und die standardmäßig eingeklappten Advanced Permissions. Zu den Basiseinstellungen gehören Zugang zum Internet, zum Soundserver, zum Drucker, zu weiteren angeschlossenen Geräten und zu Bluetooth. Hier setzen Sie bei Bedarf einen oder mehrere Haken.

Portals

Der Dateisystem-Zugriff im zweiten Punkt wird hauptsächlich über sogenannte Portals geregelt. Dabei handelt es sich um einen generischen Mechanismus, über den Anwendungen innerhalb einer Sandbox mit der Host-Umgebung interagieren können. Sie ermöglichen, mit Daten, Dateien und Diensten zu interagieren, ohne dass zusätzliche Sandbox-Berechtigungen erforderlich sind. Dabei wird dann das Root-Passwort interaktiv abgefragt, falls benötigt. Beispiele für Funktionen, auf die über Portals zugegriffen werden kann, sind das Öffnen von Dateien über einen Dateiauswahldialog, das Erstellen von Screenshots oder das Drucken.

Toolkits wie GTK 3 und 4 oder Qt 5 und 6 bieten mittlerweile über die jeweiligen Desktops transparente Unterstützung für Portals, sodass der Zugriff auf Ressourcen außerhalb der Sandbox sicher und sofort funktioniert. Mit diesem Ansatz können Anwendungen vermeiden, dass der Zugriff auf große Datenmengen oder Dienste pauschal konfiguriert werden muss, und die Benutzer haben die Kontrolle darüber, worauf ihre Anwendungen Zugriff haben. In dieser Rubrik können Sie über Add New neue Berechtigungen setzen.

Die erweiterten Berechtigungen müssen Sie zunächst über den Pfeil rechts ausklappen. Dort finden Sie Berechtigungen für Subsysteme wie DBus, Sockets wie X11, Wayland und XWayland und Devices wie Virtuelle Maschinen und die grafische Rendering-Engine. Generell besteht erst Handlungsbedarf, wenn ein Flatpak irgendwo an seine Grenzen stößt. Berechtigungen sollten Sie vorab nur vergeben, wenn Sie genau wissen, was Sie tun. Momentan fehlt hier noch die entsprechende Dokumentation seitens KDE.