Як ввести пароль лише один раз у bash-скрипті, який потребує sudo

Дані

• Я хочу, щоб користувачі операторів на цій машині змогли влаштувати власні акції cifs
• У sudoersфайлі вже є /bin/mount -t cifs //*/* /media/* -o username=*команда для всіх операторів
• Я хочу, щоб користувачі змогли зібрати cifsсценарій лише один раз, а не двічі.
• Пароль sudo та пароль cifs однакові.

Що я вже маю

Цей сценарій працює:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... але він вимагає від користувачів вводити один і той же пароль двічі!

• Раз для sudo
• Раз для самого кріплення

Це також працює:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... але для цього потрібно, щоб дозволити всім користувачам оператора можливістьsudo sh (основна проблема безпеки)

Питання

Як встановити частку cifs у bash ¹, не ставлячи shу sudoersфайл і не створюючи постійний / тимчасовий файл ???

_{Примітка 1: немає пітона, perl, C, Go, ... будь ласка?
Примітка 2: Я знаю, що я можу просто видалити пароль через sudoersфайл, але я намагаюся посилити безпеку, а не послаблювати її, не відмовляючись від зручності ...}

Натомість слід змусити користувача робити дзвінок із використання sudo як sudo script. просто перевірте, чи виконується сценарій як root, якщо не запитувати його

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Не намагайтеся захопити пароль своїх користувачів.

Я німий!

Наступний сценарій:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

просто працює і:

1. Не створює файлів, що містять паролі
2. Дозволяє користувачеві вводити лише один пароль для кількох спільних ресурсів (включаючи Windows)
3. Не потрібно надавати додаткові пільги. :-)

Не потрібно sudoпароля для виконання цієї команди; запит пароля на mountзалишки.

В sudoers, включають в себе що - щось на зразок

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Включивши це, sudoбільше не буде запитувати пароль для цієї конкретної команди; користувачеві ще потрібно вказати пароль на mountкоманду.

Примітка : я взяв команду дослівно з того, що ви включили у запитання; Я не перевіряв, чи дозволять його підстановки використовувати для користувачів щось неприємне. Прочитайте на сторінці сторінки sudoersприклади неприємностей. Зокрема, зауважте, що цей рядок sudoersдозволяє користувачеві додавати будь-яку кількість -oкомутаторів чи інші аргументи mount. Ви можете переосмислити свій підхід, наприклад, додавши такий скрипт, як @Braiam пропонує і дозволити запустити це sudoбез додаткової автентифікації. Потім сценарій гарантує, що користувачі можуть запускати лише ту форму, mountяку ви бажаєте.

Крім того, замість того, щоб дозволити це для всіх користувачів, ви також можете обмежити це членами певної групи, наприклад, ви можете створити групу, cifsmountа потім мати

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Загальним рішенням цих питань є розміщення наступної преамбули у верхній частині вашого судо, що вимагає сценаріїв:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Очевидно, що це має і мінус, що якщо деякі команди в скрипті не потребують sudoвиконання, тут непотрібне підвищення привілеїв.

У всякому разі, думав, що поділюся цією маленькою порадою. Найприємніше в цьому, це те, що якщо ви вже є ефективно-uid root (наприклад, якщо ви вже називали його під sudo), він витончено робить все правильно. Також помилка та примушення до повторного введення / повторного використання (із судо) менш дружні.

Ви також можете перевірити timestamp_timeoutзмінну, в man 5 sudoersякій повідомляється sudoзапам'ятати облікові дані користувачів протягом обмеженої кількості хвилин (і може бути дробовою).