So geben Sie das Passwort in einem Bash-Skript, das sudo benötigt, nur einmal ein

Daten

• Ich möchte, dass Operator-Benutzer auf diesem Computer ihre eigenen CIF-Freigaben bereitstellen
• Die sudoersDatei enthält bereits den /bin/mount -t cifs //*/* /media/* -o username=*Befehl für alle Operatoren
• Ich möchte, dass die Benutzer eine cifsFreigabe über ein Skript bereitstellen, das das Kennwort nur einmal und nicht zweimal eingibt.
• Das sudo-Passwort und das cifs-Passwort sind identisch.

Was ich schon habe

Dieses Skript funktioniert:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... aber die Benutzer müssen dasselbe Passwort zweimal eingeben!

• Einmal für sudo
• Einmal für die Montierung selbst

Das würde auch funktionieren:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... aber dafür müsste ich allen Betreibern die Möglichkeit gebensudo sh (schwerwiegendes Sicherheitsproblem)

Frage

Wie mounte ich eine CIF-Freigabe in bash¹, ohne shdie sudoersDatei einzufügen oder eine permanente / temporäre Datei zu erstellen?

_{Anmerkung 1: Kein Python, Perl, C, Go, ... bitte?
Hinweis 2: Ich weiß, dass ich das Passwort einfach durch die sudoersDatei entfernen kann , aber ich versuche, die Sicherheit zu erhöhen, nicht zu lockern, ohne auf Bequemlichkeit zu verzichten ...}

Sie sollten stattdessen den Benutzer veranlassen, sudo als zu verwenden sudo script. Überprüfen Sie einfach, ob das Skript als root ausgeführt wird, wenn Sie nicht danach fragen

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Versuchen Sie nicht, das Passwort Ihrer Benutzer zu erfassen.

Ich bin dumm!

Das folgende Skript:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

funktioniert einfach und:

1. Erstellt keine Dateien mit Passwörtern
2. Ermöglicht dem Benutzer, nur ein Kennwort für mehrere Freigaben (einschließlich Windows-Freigaben) einzugeben.
3. Es müssen keine zusätzlichen Berechtigungen erteilt werden. :-)

sudoFür die Ausführung dieses Befehls ist kein Kennwort erforderlich. Die Passwortabfrage für mountbleibt bestehen.

In sudoers, schließen Sie etwas wie ein

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Nachdem Sie dies eingegeben haben, sudowerden Sie nicht mehr nach einem Kennwort für diesen bestimmten Befehl gefragt. Der Benutzer muss weiterhin ein Kennwort für den mountBefehl angeben.

Hinweis : Ich habe den Befehl wörtlich von dem übernommen, was Sie in der Frage angegeben haben. Ich habe nicht geprüft, ob die Platzhalter den Benutzern erlauben würden, etwas Böses zu tun. In der sudoersManpage finden Sie Beispiele für üble Dinge. Beachten Sie insbesondere, dass sudoersder Benutzer in dieser Zeile beliebig viele -oSchalter oder andere Argumente hinzufügen kann mount. Möglicherweise möchten Sie Ihren Ansatz überdenken, indem Sie z. B. ein Skript wie das von @Braiam vorgeschlagene hinzufügen und die Ausführung sudoohne zusätzliche Authentifizierung zulassen . Das Skript stellt dann sicher, dass Benutzer nur die bestimmte Form ausführen können mount, die sie ausführen möchten.

Anstatt dies für alle Benutzer zuzulassen, können Sie dies auch auf Mitglieder einer bestimmten Gruppe beschränken, z. B. eine Gruppe erstellen cifsmountund dann haben

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Eine allgemeine Lösung für diese Probleme besteht darin, die folgende Präambel an die Spitze Ihres Sudo zu setzen, für das Skripte erforderlich sind:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Dies hat natürlich den Nachteil, dass bei einigen Befehlen im Skript keine sudounnötige Erhöhung der Berechtigungen erforderlich ist.

Jedenfalls dachte ich, ich würde diesen kleinen Tipp teilen. Das Schönste daran ist, dass, wenn Sie bereits eine effektive UID-Wurzel haben (z. B. wenn Sie sie bereits unter sudo aufgerufen haben), sie anmutig das Richtige tut. Außerdem ist es weniger benutzerfreundlich, einen Fehler zu melden und Sie (mit sudo) zur erneuten Eingabe / Ausführung zu zwingen.

Möglicherweise möchten Sie auch die timestamp_timeoutVariable auschecken, in man 5 sudoersder angegeben wird sudo, dass Benutzeranmeldeinformationen für eine begrenzte Anzahl von Minuten gespeichert werden sollen (dies kann auch ein Bruchteil sein).