ルートレスXorg
Linux VDA は、非ルートユーザー権限で Xorg を実行することをサポートしています。これは「rootless」Xorg とも呼ばれます。Rootless Xorg は、root として実行する場合と比較して、セキュリティが大幅に向上します。
注:
-
Xorg は、Amazon Linux 2 または RHEL 7 でのルートレス操作をサポートしていません。
-
Rootless Xorg には、GPU ドライバーからのサポートも必要です。Remote PC Access VDA を使用している場合は、GPU ドライバーが Rootless Xorg をサポートしていることをテストして確認してください。
Rootless Xorg はデフォルトで無効になっています。Red Hat は、Xorg サーバーに影響を与える CVE-2024-31083 セキュリティ脆弱性に対処しました。
Rootless Xorg の機能を維持するには、次の手順に従って ICA® セッションで MIT-SHM が機能することを確認してください。
-
次のディストリビューション固有のコマンドを使用して、ラッパースクリプトではなく、
cap_ipc_owner機能を Xorg 実行可能ファイルに直接適用します。-
ウブントゥ、デビアン:
sudo setcap 'cap_ipc_owner=+ep' /usr/lib/xorg/Xorg -
RHEL、Rocky向け:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg /usr/bin/Xorg
-
-
次のコマンドを使用して Rootless Xorg を有効にします。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "1" --force
Rootless Xorg がすでに有効になっている場合は、次の手順で無効にします。
-
機能を無効にするには、次のコマンドを実行します。
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "0" --force -
ディストリビューション固有のコマンドを使用して、Xorg 実行可能ファイルから
cap_ipc_owner機能を削除します。-
ウブントゥ、デビアン：
sudo setcap 'cap_ipc_owner=-ep' /usr/lib/xorg/Xorg -
RHEL、ロッキー：
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg /usr/bin/Xorg
-