Jak wpisać hasło tylko raz w skrypcie bash wymagającym sudo

Dane

• Chcę, aby użytkownicy operatora na tym komputerze montowali własne udziały cifs
• sudoersPlik zawiera już /bin/mount -t cifs //*/* /media/* -o username=*polecenia dla wszystkich operatorów
• Chcę, aby użytkownicy zamontowali cifsudział za pomocą skryptu wpisując hasło tylko raz, a nie dwa razy.
• Hasło sudo i hasło cifs są identyczne.

Co już mam

Ten skrypt działa:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ale wymaga dwukrotnego wpisania tego samego hasła!

• Raz na sudo
• Raz dla samego wierzchowca

Działa to również:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ale wymagałoby to ode mnie umożliwienia wszystkim użytkownikom operatorasudo sh (poważny problem bezpieczeństwa)

Pytanie

Jak zamontować CIFS udział w bash ¹ bez wkładania shw sudoerspliku ani stworzenie stałej plik / tymczasowy ???

_{Uwaga 1: nie python, perl, C, Go, ... proszę?
Uwaga 2: Wiem, że mogę po prostu usunąć hasło z sudoerspliku, ale staram się zwiększyć bezpieczeństwo, a nie poluzować je, nie rezygnując z wygody ...}

Zamiast tego powinieneś skłonić użytkownika do wykonania polecenia sudo as sudo script. po prostu sprawdź, czy skrypt jest uruchamiany jako root, jeśli nie, poproś o niego

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Nie próbuj przechwytywać hasła swoich użytkowników.

Jestem głupi!

Poniższy skrypt:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

po prostu działa i:

1. Nie tworzy żadnych plików zawierających hasła
2. Pozwala użytkownikowi wpisać tylko jedno hasło dla wielu udziałów (w tym Windows)
3. Nie ma potrzeby przyznawania dodatkowych uprawnień. :-)

Nie wymagaj sudohasła do wykonania tego polecenia; monit o hasło mountpozostaje.

W sudoers, dołącz coś takiego

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Po uwzględnieniu tego sudonie będzie już pytać o hasło do tego konkretnego polecenia; użytkownik nadal musi podać hasło do mountpolecenia.

Uwaga : wziąłem polecenie dosłownie z tego, co ujęłeś w pytaniu; Nie sprawdziłem, czy jego symbole wieloznaczne pozwolą użytkownikom zrobić coś paskudnego. Przeczytaj stronę sudoerspodręcznika, by zobaczyć przykłady nieprzyjemności. W szczególności zauważ, że ten wiersz sudoerspozwala użytkownikowi dodać dowolną liczbę -oprzełączników lub innych argumentów mount. Możesz przemyśleć swoje podejście, np. Dodając skrypt, taki jak @Braiam, który proponuje i zezwala na jego uruchomienie sudobez dodatkowego uwierzytelnienia. Skrypt zapewnia wtedy, że użytkownicy mogą uruchomić tylko określoną formę mount, którą chcesz, aby była uruchomiona.

Ponadto, zamiast zezwalać na to wszystkim użytkownikom, możesz również ograniczyć to do członków określonej grupy, np. Możesz utworzyć grupę, cifsmounta następnie mieć

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Ogólnym rozwiązaniem tych problemów jest umieszczenie następującej preambuły na górze sudo wymagającej skryptów:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Oczywiście ma to tę wadę, że jeśli niektóre polecenia w skrypcie nie wymagają sudouruchomienia, tutaj niepotrzebnie podnosi się uprawnienia.

W każdym razie myślałem, że podzielę się tą małą wskazówką. Najmilszą rzeczą w tym jest to, że jeśli jesteś już efektywnym rootem (np. Jeśli już nazwałeś go sudo), robi to z wdziękiem. Również popełnianie błędu i zmuszanie do przepisania / ponownego uruchomienia (z sudo) jest mniej przyjazne.

Możesz także sprawdzić timestamp_timeoutzmienną, w man 5 sudoersktórej nakazuje sudozapamiętywanie poświadczeń użytkownika przez ograniczoną liczbę minut (i może być ułamkowa).