Sudo gerektiren bir bash betiğinde sadece bir kez şifre nasıl girilir?

Veri

• Bu makinedeki operatör kullanıcılarının kendi cif hisseleri oluşturmasını istiyorum
• sudoersDosya zaten içeriyor /bin/mount -t cifs //*/* /media/* -o username=*tüm operatörler için komutu
• Kullanıcıların cifsparolayı iki kez değil, yalnızca bir kez yazarak bir komut dosyası aracılığıyla bir paylaşım paylaşmalarını istiyorum .
• Sudo şifresi ve cif şifresi aynıdır.

Zaten sahip olduğum şey

Bu komut dosyası çalışıyor:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ancak kullanıcıların aynı şifreyi iki kez yazmasını gerektirir!

• Bir kez sudo
• Bir kere montajın kendisi için

Bu da işe yarar:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ancak bu, tüm operatör kullanıcılarının yapabilmelerine izin vermemi gerektiriyorsudo sh (büyük güvenlik sorunu)

Soru

Nasıl bir cifs paylaşımına bağlamaya bash koymadan ¹ shiçinde sudoersdosyanın ne de kalıcı / geçici dosyası oluşturma ???

_{Not 1: piton yok, perl, C, Git, ... lütfen?
Not 2: Şifreyi sudoersdosyadan kaldırabileceğimi biliyorum , ancak güvenliği sıkmaya çalışıyorum, gevşetmeye değil, rahatlıktan vazgeçmeden ...}

Bunun yerine, kullanıcının sudo olarak kullandığı aramayı yapmasını sağlamalısınız sudo script. sadece betiğin root olarak çalıştırılıp çalıştırılmadığını kontrol edin.

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Kullanıcılarınızın şifresini yakalamaya çalışmayın.

Aptalım ben!

Aşağıdaki komut dosyası:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

sadece çalışır ve:

1. Parola içeren dosyalar oluşturmaz
2. Kullanıcının birden fazla paylaşım için yalnızca bir şifre yazmasına izin verir (Windows olanlar dahil)
3. Fazladan ayrıcalıklara gerek yoktur. :-)

sudoBu komutu çalıştırmak için şifre gerektirmez ; mountkalır için şifre istemi .

İçinde sudoersgibi bir şey

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Bunu ekledikten sonra, sudobu komut için artık bir şifre sormayacak; kullanıcının hala mountkomuta bir şifre sağlaması gerekir .

Not : Bu soruya dahil ettiğinizden sözlü komut aldım; Joker karakterlerinin kullanıcıların kötü şeyler yapmasına izin verip vermeyeceğini kontrol etmedim. sudoersİğrençlik örnekleri için broşürü okuyun . Özellikle, bu satırın sudoerskullanıcının herhangi bir sayıda -oanahtar veya diğer bağımsız değişkenler eklemesine izin verdiğini unutmayın mount. Yaklaşımınızı yeniden düşünmek isteyebilirsiniz, örneğin @Braiam gibi bir komut dosyası ekleyerek ve sudoek bir kimlik doğrulaması olmadan bu işlemi çalıştırmanıza izin verebilir . Daha sonra komut dosyası, kullanıcıların yalnızca çalıştırmalarını istediğiniz belirli bir formu mountçalıştırmasını sağlar.

Ayrıca, tüm kullanıcılar için buna izin vermek yerine, bunu belirli bir grubun üyeleriyle de sınırlayabilirsiniz, örneğin bir grup oluşturabilir cifsmountve sonra

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Bu sorunlara genel bir çözüm, aşağıdaki başlangıç ​​bölümünü sudo'nuzun üst kısmına komut dosyaları gerektiren şekilde koymaktır:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Açıkçası, senaryodaki bazı komutların sudoçalıştırılması gerekmiyorsa , burada gereksiz bir ayrıcalık yükselmesi söz konusudur.

Neyse, bu küçük ipucunu paylaşacağımı düşündüm. Bu konuda en güzel şey, eğer zaten etkili-üid kök olsaydı (örneğin, zaten sudo altında çağırdıysanız), doğru olanı zarifçe yapıyor olmasıdır. Ayrıca bir hata vermek ve sizi yeniden yazmaya / tekrar çalışmaya zorlamak (sudo ile) daha az kolaydır.

Ayrıca, kullanıcı kimlik bilgilerini sınırlı bir süre boyunca hatırlamayı söyleyen timestamp_timeoutdeğişkeni de kontrol etmek isteyebilirsiniz (ve kesirli olabilir).man 5 sudoerssudo