ルートレスXorg
Linux VDAは、非rootユーザー権限でXorgを実行することをサポートしており、これは「rootless」Xorgとしても知られています。Rootless Xorgは、rootとして実行する場合に比べて、セキュリティが大幅に向上します。
注:
-
Xorgは、Amazon Linux 2またはRHEL 7でのrootless操作をサポートしていません。
-
Rootless Xorgは、GPUドライバーからのサポートも必要とします。Remote PC Access VDAを使用している場合は、GPUドライバーがRootless Xorgをサポートしていることをテストして確認してください。
Rootless Xorgはデフォルトで無効になっています。Red Hatは、Xorgサーバーに影響を与えるCVE-2024-31083のセキュリティ脆弱性に対処しました。
Rootless Xorgの機能を維持するには、以下の手順に従って、ICA®セッションでMIT-SHMが機能することを確認してください。
-
以下のディストリビューション固有のコマンドを使用して、ラッパースクリプトではなく、Xorg実行可能ファイルに直接
cap_ipc_owner機能を適用します。-
ウブンツ、デビアン：
sudo setcap 'cap_ipc_owner=+ep' /usr/lib/xorg/Xorg -
RHEL、ロッキー：
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg /usr/bin/Xorg
-
-
以下のコマンドを使用してRootless Xorgを有効にします。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "1" --force
Rootless Xorgがすでに有効になっている場合に無効にするには、次の手順を実行します。
-
以下のコマンドを実行して機能を無効にします。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "0" --force -
以下のディストリビューション固有のコマンドを使用して、Xorg実行可能ファイルから
cap_ipc_owner機能を削除します。-
ウブンツ、デビアン:
sudo setcap 'cap_ipc_owner=-ep' /usr/lib/xorg/Xorg -
RHEL、ロッキー:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg /usr/bin/Xorg
-