Как все su -задачи из под not-root пользователей отправить в отдельную cgroup'у?

я знаю, как это сделать враппером к su, ещё посмотри в libcgroups, он вроде умеет перекидывать определенные программы в другие цгруппы, но с последним я не работал. Враппер пишится элементарно:

#!/bin/bash
mkdir /sys/fs/cgroups/mycgroup/${USER}
echo $$ > /sys/fs/cgroups/mycgroup/${USER}/tasks
su $@

Спасибо. То что надо.
Надо попробовать создать правило.

да, будучи рутом пользователи могут двигать свои процессы по цгруппам, так что для полноценности нужно selinux правила поднимать, но тут я уже ничем не помогу :(

хотя более правильное направление это не враппер, а правило для pam, если случайно раскопаешь, как это делать верно, то пни меня. Ну и естественно нужно сначала свой именованный контроллер создать, чтобы системным не мешаться, как сделано в openrc.

Там же демон есть (cgred) который помещает процессы в группы согласно с правилами, а cgroup можно в инитскрипте создавать. Вот больше документации: https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Linux/6-Bet...

если напишешь правило для cgred - соглашусь :)

У меня эти утилиты не установлены, так что у себя не протестирую, но там будет что-то вроде:

*:su *  /sugroup

Для всех su запущенный от всех пользователей помещать процесс su (и как следствие, всех детей) в группу sugroup

Для всех su запущенный от всех пользователей помещать процесс su (и как следствие, всех детей) в группу sugroup

это не совсем точное утверждение, он будет помещать процесс su и его тех детей, которых процесс su породит после того, как он будет перемещен (для su ещё покатит и то если не сделать su и сразу же новый шел, в этом случае race conduition и как повезет), а с sudo вообще шансы близки к 0. Ну и работать надо с отдельной цгруппой, но это уже просто сделать.

ТС держи:

1). инициализируем нужную цгруппу:

localhost qnikst # mkdir /sys/fs/cgroup/test #это уж как 
localhost qnikst # mount -n -t cgroup -o none,nodev,noexec,nosuid,name=test test /sys/fs/cgroup/test

localhost qnikst # cat /usr/local/bin/pam_exec_test.sh 
#!/bin/sh
p=/sys/fs/cgroup/test/${PAM_RUSER}
[ ! -d "${p}" ] && \
        mkdir ${p}
echo $PPID > "${p}"/tasks

session    optional             pam_exec.so   log=/var/log/pam_test_su.log seteuid /usr/local/bin/pam_exec_test.sh

наслаждаемся результатом.

Для полного счаться, как я уже говорил, нужна политика selinux.

Спасибо, завел. Это то, что надо!