ルートレスXorg
Linux VDAは、非ルートユーザー権限でXorgを実行することをサポートしています。これは「ルートレス」Xorgとも呼ばれます。ルートレスXorgは、ルートとして実行する場合と比較して、セキュリティが大幅に向上します。
注:
-
Xorgは、Amazon Linux 2またはRHEL 7ではルートレス操作をサポートしていません。
-
ルートレスXorgには、GPUドライバーからのサポートも必要です。Remote PC Access VDAを使用している場合は、GPUドライバーがルートレスXorgをサポートしていることをテストして確認してください。
ルートレスXorgはデフォルトで無効になっています。Red Hatは、Xorgサーバーに影響を与えるCVE-2024-31083セキュリティ脆弱性に対処しました。
ルートレスXorgの機能を維持するには、以下の手順に従ってICA®セッションでMIT-SHMが機能することを確認してください。
-
以下のディストリビューション固有のコマンドを使用して、ラッパースクリプトではなく、Xorg実行可能ファイルに直接
cap_ipc_owner機能を適用します。-
ウブントゥ、デビアン:
sudo setcap 'cap_ipc_owner=+ep' /usr/lib/xorg/Xorg -
RHEL、ロッキー:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg /usr/bin/Xorg
-
-
以下のコマンドを使用してルートレスXorgを有効にします。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "1" --force
ルートレスXorgがすでに有効になっている場合に無効にするには、以下の手順を実行します。
-
以下のコマンドを実行して、この機能を無効にします。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "0" --force -
ディストリビューション固有のコマンドを使用して、Xorg実行可能ファイルから
cap_ipc_owner機能を削除します。-
Ubuntu、Debianの場合:
sudo setcap 'cap_ipc_owner=-ep' /usr/lib/xorg/Xorg -
RHEL、Rockyの場合:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg /usr/bin/Xorg
-