ป้องกัน sudo ไม่ให้ใส่รหัสผ่านเมื่อเรียกใช้คำสั่งที่ไม่ได้รับอนุญาต

ฉันได้รับอนุญาตจากกลุ่มให้รันคำสั่งบางอย่างโดยไม่มีรหัสผ่านทาง sudo เมื่อผู้ใช้คนใดคนหนึ่งพิมพ์ผิดหรือรันคำสั่งผิดระบบจะแจ้งให้พวกเขาใส่รหัสผ่านแล้วพวกเขาก็จะได้รับข้อผิดพลาด สิ่งนี้สร้างความสับสนให้กับผู้ใช้ดังนั้นฉันต้องการแสดงข้อผิดพลาดแทนที่จะแจ้งรหัสผ่านให้พวกเขา เป็นไปได้ไหม

นี่คือตัวอย่างของไฟล์ sudoers ของฉัน:

%mygroup ALL=(ALL) NOPASSWD:/usr/local/bin/myscript.sh *

ตัวอย่างเมื่อพวกเขาเรียกใช้สคริปต์ที่ไม่ถูกต้อง:

# sudo /usr/local/bin/otherscript.sh
[sudo] password for user:
Sorry, user user is not allowed to execute '/usr/local/bin/otherscript.sh' as root on <hostname>.

ผลลัพธ์ที่ต้องการ:

Sorry, user user is not allowed to execute '/usr/local/bin/otherscript.sh' as root on <hostname>. Please check the command and try again.

สังเกตการขาดพรอมต์รหัสผ่าน

ฉัน google-Fu ล้มเหลวฉันและจะให้ผลลัพธ์ในไม่ได้ขอรหัสผ่านเมื่อผู้ใช้จะได้รับอนุญาตให้ใช้คำสั่ง

จากการอ่านอย่างรวดเร็วของ sudo(8)

   -n          The -n (non-interactive) option prevents sudo from
               prompting the user for a password.  If a password is
               required for the command to run, sudo will display an error
               message and exit.

และสำหรับผู้สงสัย:

# grep jdoe /etc/sudoers
jdoe    ALL=(ALL) NOPASSWD: /bin/echo
#

ผ่านการทดสอบแล้ว:

% sudo echo allowed
allowed
% sudo -n ed             
sudo: a password is required
% sudo ed               

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

Password:

ดังนั้นaliasสำหรับsudoคนเหล่านี้มีแนวโน้มที่จะทำเคล็ดลับเพื่อป้องกันไม่ให้รหัสผ่าน ตอนนี้ทำไมต้องรวบรวมแบบกำหนดเองsudoฉันไม่รู้ฉันเพิ่งอ่านคู่มือ

สิ่งหนึ่งที่ใช้งานได้สำหรับฉัน (Sudo เวอร์ชั่น 1.8.17p1) แต่ตอบสนองเพียงส่วนหนึ่งของปัญหาของคุณคือการกำหนดจำนวนรหัสผ่านพยายามเป็น 0

Defaults:%mygroup passwd_tries = 0

สิ่งนี้ทำให้ sudo exit พร้อมโค้ด 1 เมื่อลองใช้คำสั่งที่ต้องการรหัสผ่าน อย่างไรก็ตามจะไม่สร้างข้อความแสดงข้อผิดพลาดใด ๆ

คุณไม่สามารถ.

ไม่มีวิธีที่จะบอกได้ว่าคุณเป็นใครจนกว่าคุณจะได้รับการรับรองความถูกต้องและโดยค่าเริ่มต้นคุณไม่สามารถรับรองความถูกต้องโดยไม่มีรหัสผ่าน

คุณสามารถเปลี่ยนการรับรองความถูกต้องเพื่อใช้คีย์ USB สแกนลายนิ้วมือการรับรองความถูกต้องของเสียงการจดจำใบหน้าหรือสิ่งอื่น ๆ แต่จุดนี้เหมือนกัน

คุณไม่สามารถรับรองความถูกต้องโดยไม่ต้องพิสูจน์ตัวตนและก่อนที่จะรับรองความถูกต้อง sudo ไม่มีธุรกิจที่บอกคุณว่าคุณสามารถหรือไม่สามารถทำงานได้

@StrongBad แสดงความคิดเห็นที่สมควรได้รับคำตอบ:

ฉันคิดว่าทางออกที่ดีที่สุดคือการเขียนสคริปต์ตัวตัดคำที่เรียกsudoใช้พารามิเตอร์ที่ถูกต้องเสมอ (รวมถึง-n)

สคริปต์ตัวตัดคำสามารถทำการแยกวิเคราะห์อาร์กิวเมนต์เป็นต้นเพื่อให้สคริปต์ที่เรียกว่า sudo มีขนาดเล็กที่สุดเท่าที่จะทำได้ดังนั้นจึงมีโอกาสน้อยที่จะมีข้อบกพร่อง

สิ่งนี้เป็นไปไม่ได้ วิธีเดียวคือการเปลี่ยนรหัสต้นฉบับและรวบรวมทางแยกของคุณเองsudo