Cho phép lệnh sudo phức tạp trên Debian Linux

Tôi cần cho phép một lệnh cụ thể trên hộp Debian Linux cho một người dùng. Tôi đã thử điều này trong /etc/sudoerstập tin:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Điều này không hoạt động như mong đợi. Nếu tôi chạy lệnh như người dùng zabbix với sudo, nó sẽ hỏi mật khẩu (mặc dù tôi đã chỉ định NOPASSWDtùy chọn).

Tuy nhiên, điều này hoạt động:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Nhưng có một nhược điểm là tất cả các tiểu ban apt-getđều được cho phép. Có cách nào để tôi có thể sửa lỗi này chỉ cho phép một lệnh cụ thể không?

Tôi không đồng ý với lain. Mặc dù nó sẽ hoạt động, bạn không cần awkphải chạy bằng root. Tôi sẽ không thoải mái với điều này bởi vì bạn có thể tấn công awktheo một cách nào đó. Nó là một trình thông dịch ngôn ngữ lập trình đầy đủ sau khi tất cả.

Khi một người chạy sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', họ thực sự đang chạy sudo /usr/bin/apt-get --print-uris -qq -y upgradevà sau đó chuyển / chuyển hướng như người dùng cuộc gọi.

Thử đi: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

Nhân tiện, không có gì sai khi đưa điều này vào một kịch bản như lain và bạn vẫn có thể làm điều đó. Tôi sẽ chỉ tránh chạy awk như root nếu có thể.

Bạn có thể đang rơi vào tình trạng chuyển hướng tương tác với sudo. Việc chuyển hướng được thực hiện tại người dùng gọi chứ không phải người dùng đặc quyền. Có lẽ sẽ dễ dàng hơn cho bạn để bọc lệnh của bạn trong một tập lệnh và sau đó cho phép người dùng zabbix chạy tập lệnh đó, vd

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

bộ sudoers như

zabbix  ALL=NOPASSWD: /path/to/script

Bây giờ toàn bộ tập lệnh sẽ được chạy với tư cách là người dùng đặc quyền chứ không chỉ là lệnh apt-get cụ thể. Mặc dù đảm bảo rằng người dùng zabbix không thể ghi vào tập lệnh.