Cách nhập mật khẩu chỉ một lần trong tập lệnh bash cần sudo

Dữ liệu

• Tôi muốn người dùng vận hành trên máy này gắn kết cổ phiếu cifs của riêng họ
• Các sudoerstập tin đã có chứa các /bin/mount -t cifs //*/* /media/* -o username=*lệnh cho tất cả các nhà khai thác
• Tôi muốn người dùng gắn kết cifschia sẻ thông qua một tập lệnh gõ mật khẩu chỉ một lần, không phải hai lần.
• Mật khẩu sudo và mật khẩu cifs giống hệt nhau.

Những gì tôi đã có

Kịch bản này hoạt động:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... nhưng nó yêu cầu người dùng gõ cùng một mật khẩu hai lần!

• Một lần cho sudo
• Một lần cho gắn kết chính nó

Điều này cũng sẽ làm việc:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... nhưng điều này sẽ yêu cầu tôi cho phép tất cả người dùng của nhà điều hành có thểsudo sh (vấn đề bảo mật lớn)

Câu hỏi

Làm thế nào để gắn kết một CIFS cổ phiếu trong bash ¹ mà không đặt shtrong sudoerstập tin hay tạo ra một tập tin vĩnh viễn / tạm thời ???

_{Lưu ý 1: không có trăn, perl, C, Go, ... làm ơn?
Lưu ý 2: Tôi biết tôi chỉ có thể xóa mật khẩu qua sudoerstệp, nhưng tôi đang cố gắng thắt chặt bảo mật, không nới lỏng, mà không từ bỏ sự tiện lợi ...}

Thay vào đó, bạn nên làm cho người dùng thực hiện cuộc gọi sử dụng sudo như sudo script. Chỉ cần kiểm tra nếu tập lệnh đang được chạy như root, nếu không yêu cầu nó

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Đừng cố nắm bắt mật khẩu của người dùng của bạn.

Tôi ngốc thật!

Kịch bản sau:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

chỉ hoạt động và:

1. Không tạo bất kỳ tệp nào chứa mật khẩu
2. Cho phép người dùng chỉ nhập một mật khẩu cho nhiều lượt chia sẻ (bao gồm cả mật khẩu Windows)
3. Không cần thêm đặc quyền để được cấp. :-)

Yêu cầu không có sudomật khẩu để thực hiện lệnh này; lời nhắc mật khẩu cho mountvẫn còn.

Trong sudoers, bao gồm một cái gì đó như

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Sau khi bao gồm điều này, sudosẽ không còn yêu cầu mật khẩu cho lệnh cụ thể này; người dùng vẫn cần cung cấp mật khẩu cho mountlệnh.

Lưu ý : Tôi đã lấy nguyên văn lệnh từ những gì bạn đưa vào câu hỏi; Tôi đã không kiểm tra xem các ký tự đại diện của nó có cho phép người dùng làm điều gì đó khó chịu hay không. Đọc các sudoerstrang web cho ví dụ về sự khó chịu. Cụ thể, lưu ý rằng dòng này sudoerscho phép người dùng thêm bất kỳ số lượng -ochuyển đổi hoặc đối số khác vào mount. Bạn có thể muốn suy nghĩ lại về cách tiếp cận của mình, ví dụ: bằng cách thêm một tập lệnh như @Braiam đề xuất và cho phép chạy nó sudomà không cần xác thực thêm. Tập lệnh sau đó đảm bảo rằng người dùng chỉ có thể chạy hình thức cụ thể mountmà bạn muốn họ chạy.

Ngoài ra, thay vì cho phép điều này cho tất cả người dùng, bạn cũng có thể giới hạn điều này với các thành viên của một nhóm nhất định, ví dụ: bạn có thể tạo một nhóm cifsmountvà sau đó có

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Một giải pháp chung cho những vấn đề này là đặt phần mở đầu sau ở đầu tập lệnh yêu cầu sudo của bạn:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Rõ ràng, điều này có một nhược điểm là nếu một số lệnh trong tập lệnh không yêu cầu sudochạy, thì có một sự nâng cao đặc quyền không cần thiết ở đây.

Dù sao, nghĩ rằng tôi sẽ chia sẻ mẹo nhỏ này. Điều thú vị nhất về nó, là nếu bạn đã sử dụng root hiệu quả (ví dụ nếu bạn đã gọi nó theo sudo) thì duyên dáng sẽ làm điều đúng đắn. Ngoài ra đưa ra một lỗi và buộc bạn phải gõ lại / chạy lại (với sudo) là ít thân thiện hơn.

Bạn cũng có thể muốn kiểm tra timestamp_timeoutbiến trong man 5 sudoersđó yêu sudocầu ghi nhớ thông tin đăng nhập của người dùng trong một số phút giới hạn (và có thể là phân số).