วิธีการใส่รหัสผ่านเพียงครั้งเดียวในสคริปต์ทุบตีต้องใช้ sudo

ข้อมูล

• ฉันต้องการให้ผู้ใช้โอเปอเรเตอร์บนเครื่องนี้ติดตั้ง cifs ของตัวเอง
• sudoersไฟล์แล้วมี/bin/mount -t cifs //*/* /media/* -o username=*คำสั่งสำหรับผู้ประกอบการทั้งหมด
• ฉันต้องการให้ผู้ใช้เมาcifsนต์แชร์ผ่านสคริปต์ที่พิมพ์รหัสผ่านเพียงครั้งเดียวไม่ใช่สองครั้ง
• รหัสผ่าน sudo และรหัสผ่าน cifs เหมือนกัน

สิ่งที่ฉันมีอยู่แล้ว

สคริปต์นี้ใช้งานได้:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... แต่ผู้ใช้ต้องพิมพ์รหัสผ่านเดียวกันสองครั้ง!

• ครั้งเดียวสำหรับ sudo
• ครั้งหนึ่งสำหรับเขานั้นเอง

สิ่งนี้จะได้ผล:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... แต่สิ่งนี้จะทำให้ฉันต้องอนุญาตให้ผู้ใช้โอเปอเรเตอร์ทุกคนสามารถsudo sh (ปัญหาด้านความปลอดภัยที่สำคัญ)

คำถาม

วิธีการติดตั้งส่วนแบ่ง CIFS ในทุบตี ¹โดยไม่ต้องใส่shในsudoersไฟล์หรือสร้างไฟล์ถาวร / ชั่วคราว ???

_{หมายเหตุ 1:ไม่มีไพ ธ อน, Perl, C, Go, ... ได้โปรด?
หมายเหตุ 2:ฉันรู้ว่าฉันสามารถลบรหัสผ่านผ่านsudoersไฟล์ได้ แต่ฉันพยายามกระชับความปลอดภัยไม่คลายมันโดยไม่ยอมแพ้ ...}

คุณควรทำให้ผู้ใช้ทำการเรียกใช้ sudo sudo scriptแทน เพียงตรวจสอบว่าสคริปต์นั้นถูกเรียกใช้เป็นรูทหรือไม่ถ้าไม่ขอ

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

อย่าพยายามเก็บรหัสผ่านของผู้ใช้ของคุณ

ฉันเป็นใบ้!

สคริปต์ต่อไปนี้:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

เพิ่งใช้งานได้และ:

1. ไม่สร้างไฟล์ใด ๆ ที่มีรหัสผ่าน
2. อนุญาตให้ผู้ใช้พิมพ์รหัสผ่านเดียวสำหรับการแชร์หลาย ๆ ครั้ง (รวมถึงรหัส Windows)
3. ไม่จำเป็นต้องมีสิทธิ์พิเศษที่จะได้รับ :-)

ไม่ต้องใช้sudoรหัสผ่านสำหรับการดำเนินการคำสั่งนี้ พรอมต์รหัสผ่านสำหรับmountยังคงอยู่

ในsudoersรวมสิ่งที่ชอบ

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

หลังจากรวมสิ่งนี้แล้วsudoจะไม่ถามรหัสผ่านสำหรับคำสั่งเฉพาะนี้อีกต่อไป ผู้ใช้ยังคงต้องให้รหัสผ่านกับmountคำสั่ง

หมายเหตุ : ฉันใช้คำต่อคำจากสิ่งที่คุณรวมไว้ในคำถาม; ฉันไม่ได้ตรวจสอบว่าอักขระตัวแทนจะอนุญาตให้ผู้ใช้ทำสิ่งที่น่ารังเกียจหรือไม่ อ่านsudoersmanpage เพื่อดูตัวอย่างความน่ารังเกียจ โดยเฉพาะอย่างยิ่งทราบว่าสายนี้ในการsudoersช่วยให้ผู้ใช้ในการเพิ่มจำนวนของ-oสวิทช์หรือข้อโต้แย้งอื่น ๆ mountที่จะ คุณอาจต้องการคิดทบทวนแนวทางของคุณใหม่เช่นโดยการเพิ่มสคริปต์เช่น @Braiam เสนอและอนุญาตให้ใช้งานได้sudoโดยไม่ต้องมีการตรวจสอบสิทธิ์เพิ่มเติม จากนั้นสคริปต์จะตรวจสอบให้แน่ใจว่าผู้ใช้สามารถเรียกใช้เฉพาะรูปแบบmountที่คุณต้องการให้เรียกใช้

นอกจากนี้แทนที่จะอนุญาตให้ใช้สำหรับผู้ใช้ทั้งหมดคุณสามารถ จำกัด สิ่งนี้ให้กับสมาชิกของกลุ่มใดกลุ่มหนึ่งเช่นคุณสามารถสร้างกลุ่มcifsmountแล้วมี

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

วิธีแก้ไขปัญหาทั่วไปสำหรับปัญหาเหล่านี้คือการนำคำนำหน้าต่อไปนี้มาไว้บนสุดของ sudo ที่ต้องการสคริปต์:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

เห็นได้ชัดว่านี่เป็นข้อเสียที่ถ้าคำสั่งบางอย่างในสคริปต์ไม่จำเป็นต้องsudoเรียกใช้จะมีสิทธิ์ระดับสูงที่ไม่จำเป็นที่นี่

อย่างไรก็ตามคิดว่าฉันจะแบ่งปันเคล็ดลับเล็ก ๆ นี้ สิ่งที่ดีที่สุดเกี่ยวกับมันคือถ้าคุณมีประสิทธิภาพแล้วรูท uid (เช่นถ้าคุณเรียกมันภายใต้ sudo) มันทำสิ่งที่ถูกต้องได้อย่างงดงาม การให้ข้อผิดพลาดและบังคับให้คุณพิมพ์ซ้ำ / เรียกใช้อีกครั้ง (ด้วย sudo) นั้นไม่เป็นมิตร

คุณอาจต้องการตรวจสอบtimestamp_timeoutตัวแปรman 5 sudoersที่บอกsudoให้จำข้อมูลรับรองผู้ใช้เป็นเวลา จำกัด จำนวนนาที (และอาจเป็นเศษส่วน)