我正在linux（Ubuntu）上做一个小的附带项目，我需要一个经过身份验证的人才能访问服务。我的想法是，这种身份验证应该与进程及其子进程一起存储，而不是与linux用户本身一起存储。
这种身份验证应该通过使用用户名、密码和脚本/应用程序（任何应用程序）调用"myapplogin"来完成，以使用这些凭据运行。我希望能够在这个过程中留下这些证书给任何孩子，以及任何孙子女等等
我已经为这个功能考虑了一些选项。
-
在环境变量中存储登录id或其他内容。据我所知，这是传给任何孩子的。然而，环境变量可以由进程写入，从而允许它可能获得不应有的访问权限。
-
登录时，存储登录进程的进程id，然后在对该服务的每次操作中，检查它是否有存储的pid，或者在它的祖先中是否存在存储的pid。如果这个祖先越来越大，并且经常访问服务，这可能会变得太慢。一种选择是缓存祖先中的任何pid，但这可能会对操作系统中的pid重用产生安全影响。
-
使用进程组并将其与登录链接，但进程本身也可以更改，允许它在不实际登录的情况下加入现有组。
有办法做到这一点吗？最好它应该是与进程一起存储的东西，任何新的子进程都继承它，进程不可能覆盖它，并且可以从内核模块外部读取。
也许我只是忽略了一些显而易见的东西？如果您对此有任何意见，我将不胜感激=）
根据您提到的"服务"类型，我可以提供两种方法：
1.如果你提到的服务是：网络管理、磁盘安装/卸载等。下面是：
Linux内核实现了CAPABILITY机制。内核定义了各种功能。这些功能可以分配给不同的用户。能力的基本规则是：为一个用户分配完成其任务的最小权限集。
所以你可以使用CAPABILITY的想法，你需要做的是：
（1） 列出需要限制访问的所有服务。
（2） 为列出的服务定义新功能或使用现有功能。
（3） 当一个进程访问您列出的服务时，更改内核源代码以检查其功能。通常，这些检查位于系统调用条目中。
（4） 对init/login进程的源代码进行更改，当用户登录到系统时，根据您的访问控制规则为不同的用户分配必要的功能。
2.如果你提到的服务就像执行某种系统命令。
（1） 在/etc/directory下创建一个文件，如watch_dog或else，在该文件中，您可以定义一种格式来列出特定用户可以执行的特定命令。当然，文件格式可能真的很花哨，比如可以使用正则表达式。要解析文件，可以使用Bison或Lex/Yacc。
（2） 在Linux内核初始化期间，可以解析文件/etc/watch_dog。
（3） 在processfork（）过程中，将/etc/watch_dog规则设置为与流程相关的task_struct。
（4） 在exec（）条目中，应用/etc/watch_dog规则来检查它是否可以执行程序。