В данной статье будет описано, каким образом возможно разрешить отдельным доменным пользователям (ALD Pro и FreeIPA) монтировать съемные накопители. Я не буду описывать настройку учтенных накопителей, работу в сессиях с ненулевой классификационной меткой, да и рассматривать все аспекты работы со съемными накопителями в Астре в целом. К тому же, в зависимости от очередного и оперативного обновления имеют место быть некоторые различия в работе данных механизмов. Подробная и исчерпывающая информация как и всегда доступна в официальной Wiki.

Общий принцип

В общем и целом, принцип разрешения монтирования съемных устройств будет сводиться к добавлению пользователя в ту или иную группу. В Astra Linux существуют следующие специальные группы:

• disk — позволяет выполнять операции чтения/записи над дисковыми накопителями (устройства /dev/sdX), однако сама по себе не позволяет монтировать данные устройства;
• cdrom — позволяет выполнять операции чтения/записи над оптическими приводами (устройства /dev/srX), однако сама по себе не позволяет монтировать данные устройства;
• floppy — разрешает полуавтоматическое монтирование съемных устройств.

Настройка

Для начала в рамках домена потребуется создать перечисленные группы, причем Group ID создаваемой группы должен быть аналогичен GID локальной группы. Задать GID через веб-интерфейс ALD Pro не получится, поэтому произведем данную настройку непосредственно для FreeIPA. На контроллере домена:

kinit admin
ipa group-add --gid=6 disk
ipa group-add --gid=24 cdrom
ipa group-add --gid=25 floppy

Далее добавим нужных пользователей в необходимые группы (в зависимости от поставленной задачи). Сделать это уже можно, как через админку ALD, так и штатными средствами FreeIPA.

ipa group-add-member disk --users=sysadmin
ipa group-add-member cdrom --users=sysadmin
ipa group-add-member floppy --users=sysadmin

Для проверки на доменном устройстве произведем вход под требуемой учетной записью и проверим, что монтирование съемных устройств доступно.