«Операция не разрешена» при снижении привилегий с использованием функции setuid()

Question

Почему эти простые программы, использующие os.setuid()/gid(), не удается? Пишется в питона, но я думаю, что это не родственник проблема языка (в конце все же система POSIX вызова):

import os, pwd 

if os.getenv("SUDO_UID") and os.getenv("SUDO_GID"): 
    orig_uid=int(os.getenv("SUDO_UID")) 
    orig_gid=int(os.getenv("SUDO_GID")) 
else: 
    pw = pwd.getpwnam("nobody") 
    orig_uid = pw.pw_uid 
    orig_gid = pw.pw_gid 

print os.getuid(), os.getgid(), os.geteuid(), os.getegid(), orig_uid, orig_gid 

os.setgid(orig_gid) 
os.setuid(orig_uid) 

возвращает это исключение:

$ sudo python provgid.py 
0 0 0 0 1000 1000 
Traceback (most recent call last): 
    File "provgid.py", line 15, in <module> 
    os.setgid(orig_gid) 
OSError: [Errno 1] Operation not permitted 

Что такое ошибка ?

Answer 1

Я исправил с помощью этой библиотеки

http://pypi.python.org/pypi/privilege/1.0

Это надежно падения привилегий от корня к другому пользователю.

Answer 2

Только суперпользователю или процессам с возможностью CAP_SETGID разрешено устанавливать GID. После вызова setuid() действительный UID уже не 0, поэтому вам не разрешено звонить setgid(). Попробуйте изменить порядок двух вызовов.