Permitir que o usuário instale pacotes usando o fantoche

Question

Eu preciso permitir que alguns usuários instalem pacotes em seus sistemas, e todo o sistema está sendo gerenciado pelo fantoche.

Eu tenho este arquivo:

#modules/polkit/manifests/init.pp
define polkit(
        # filename without a path
        # $name,
        $filename="/var/lib/polkit-1/localauthority/50-local.d/$name.pkla",
        $users,
        $groups,
        # e.g. org.debian.apt.install-or-remove-packages -- use pkaction for a list.
        $action,
        # result
        $result_active='',
        $result_inactive='',
        $result_any='',
        $return_value=''
) {
        file { "$filename":
                ensure  => present,
                content => template('polkit/pkla.erb'),
                owner   => 'root',
                group   => 'root',
                mode    => '0644'
        }
}

E em outro arquivo:

#modules/polkit/manifests/install_packages.pp
class polkit::install_packages($users=[], $groups=['admin','sudo']) {
        polkit { 'lsv-install-packages':
                        action        => 'org.debian.apt.install-or-remove-packages',
                        users         => $users,
                        groups        => $groups,
                        result_active => 'auth_self_keep'
        }
}

E isso é o que eu tenho no meu manifests/desktops.pp :

node
        'computerxxx'
inherits desktop {
        include packages::desktop_default

        class { 'polkit::install_packages':
                users => [ 'gooduser' ]
        }
}

Como resultado, eu tenho isso na máquina do cliente:

/vsr/lib/polkit/localauthority/50-local.d/lsv-install-packages.pkla 
[lsv-install-packages]
Identity=unix-user:gooduser;unix-group:admin;unix-group:sudo
Action=org.debian.apt.install-or-remove-packages
ResultActive=auth_self_keep

Mas não parece colocar regras adequadas no lugar. Se esse usuário tentar instalar um pacote, ele receberá esta mensagem:

$ apt-get install emacs
E: Could not open lock file /var/lib/dpkg/lock - open (13: Permission denied)
E: Unable to lock the administration directory (/var/lib/dpkg/), are you root?

Como posso corrigir isso?

(Acredito que o PolicyKit deve estar entre as tags dessa questão, alguém poderia adicionar a tag ao post?)