Zezwalaj na złożone polecenie sudo w systemie Debian Linux

Muszę zezwolić na określone polecenie w oknie Debian Linux dla jednego użytkownika. Próbowałem tego w /etc/sudoerspliku:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

To nie działa zgodnie z oczekiwaniami. Jeśli uruchomię polecenie jako użytkownik zabbix za pomocą sudo, poprosi o hasło (chociaż podałem NOPASSWDopcję).

Działa to jednak:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Ale ma tę wadę, że wszystkie podkomendy apt-getsą dozwolone. Czy istnieje sposób, w jaki mogę to naprawić, aby zezwolić tylko na określone polecenie?

Nie zgadzam się z Lainem. Chociaż to zadziała, nie musisz awkuruchamiać się jako root. Nie czułbym się z tym dobrze, ponieważ możesz być w stanie zaatakować awkw jakiś sposób. W końcu jest to pełny tłumacz języka programowania.

Kiedy się uruchamia sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', faktycznie działa, sudo /usr/bin/apt-get --print-uris -qq -y upgradea następnie przesyła / przekierowuje jako użytkownik wywołujący.

Spróbuj tego: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

Nawiasem mówiąc, nie ma nic złego w umieszczeniu tego w skrypcie, tak jak robi to Lain, i nadal możesz to zrobić. Po prostu unikałbym uruchamiania awk jako root, jeśli to możliwe.

Prawdopodobnie nie zgadzasz się ze sposobem, w jaki przekierowanie współdziała z sudo. Przekierowanie jest wykonywane u użytkownika wywołującego, a nie użytkownika uprzywilejowanego. Prawdopodobnie łatwiej byłoby ci zawinąć polecenie w skrypt, a następnie pozwolić użytkownikowi zabbix na uruchomienie tego skryptu, np

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

set sudoers as

zabbix  ALL=NOPASSWD: /path/to/script

Teraz cały skrypt będzie uruchamiany jako uprzywilejowany użytkownik, a nie tylko konkretne polecenie apt-get. Upewnij się jednak, że użytkownik zabbix nie może pisać do skryptu.