Fedora 上可插拔设备授权：向 plugdev 群组说不

最近，我发现 Fedora 系统上没有 plugdev 群组，而是使用动态 ACL 的方式允许普通用户访问可插拔设备等。

事情的缘由是我在折腾软件无线电 (SDR)，更特别的说就是 bladeRF，它在编译安装时会自动安装相应的 udev 规则，以使得普通用户可以访问这块板卡。它提供的 udev 规则文件为 /etc/udev/rules.d/88-nuand.rules，内容如下：

# nuand bladeRF
ATTR{idVendor}=="1d50", ATTR{idProduct}=="6066", MODE="660", GROUP="plugdev"

# Reserved for future bladeRF-specific bootloader
ATTR{idVendor}=="1d50", ATTR{idProduct}=="6081", MODE="660", GROUP="plugdev"

# Cypress Bootloader
ATTR{idVendor}=="04b4", ATTR{idProduct}=="00f3", MODE="660", GROUP="plugdev"

其含义是将 bladeRF （以及相关设备）的权限设为仅属主和群组可读写，群组设为 plugdev。类似的使用 plugdev 群组的 udev 规则设置，在许多涉及可插拔外设的上游项目里都会看到。

然而事实上 Fedora 系统上是没有 plugdev 群组的。bladeRF 维基建议手动建立该群组，并将当前用户添加进去。 但这种做法其实是不被 Fedora 推荐的，原因是这种静态的设备管理群组

• 不安全。考虑这样的一个场景：一个 SSH 远程登录的用户可以访问物理主机的摄像头、麦克风，只要他是该群组的成员。
• 不灵活。需要手动地维护该群组的成员列表，新增用户还需要注销当前会话重启会话才能使用该设备。
• 不具体。plugdev 群组的用户可以使用任何可插拔设备，不论这个设备是手机、摄像头还是麦克风。

Fedora 支持动态的权限控制 (ACL)，可以根据用户会话状态、物理座位(seat)配置来决定是否授权设备。在这种机制下，udev 规则文件可以是简单的一行：

SUBSYSTEM=="usb", ENV{DEVTYPE}=="usb_device", 
  ATTRS{idVendor}=="1ed8", ATTRS{idProduct}=="000[456]" 
  ENV{ID_<some_name>}="1"

这里的 ID_<some_name> 是设备的一个“合适”的类别，例如 ID_CDROM, ID_MEDIA_PLAYER 等。它会出现在 Systemd 的 uaccess 规则文件 70-uaccess.rules 中，这个文件会授权此类设备给活跃用户。

遗憾的是，目前 uaccess 规则文件里并没有一个软件无线电有关的设备类别。所以暂时只能像如下的 udev 规则文件中那样，直接给设备加上 uaccess 的标签：

SUBSYSTEM!="usb", GOTO="nuand_rules_end"
ACTION!="add", GOTO="nuand_rules_end"

ATTR{idVendor}=="1d50", ATTR{idProduct}=="6066", TAG+="uaccess"

# Reserved for future bladeRF-specific bootloader
ATTR{idVendor}=="1d50", ATTR{idProduct}=="6081", TAG+="uaccess"

# Cypress Bootloader
ATTR{idVendor}=="04b4", ATTR{idProduct}=="00f3", TAG+="uaccess"

LABEL="nuand_rules_end"

注意 udev 规则文件命名时开头的数字编号需要小于 70，此时 uaccess 才会生效。如果设备已经连接到电脑上，要使新添加的或新修改的规则生效，还需要 udevadm trigger 一下。

事实上，邮件列表并不推荐上述做法，udev 与 Systemd 开发者 Kay Sievers 表示设备规则文件不应该直接设置 uaccess 这一标签。我已经在 systemd-devel 邮件列表上请求添加一个软件无线电相关的设备类别，得到了肯定的回应，并最终在这次提交中添加了 ID_SOFTWARE_RADIO。在不远的将来，带有这一改动的 Systemd 进入主流发行版后，我们将可以通过在 udev 规则文件中使用类似 ENV{ID_SOFTWARE_RADIO}="bladerf" 的语句，让普通用户以一种更安全灵活的方式使用软件无线电外设。