Consenti il ​​comando sudo complesso su Debian Linux

Devo consentire un comando specifico su un box Debian Linux per un singolo utente. Ho provato questo nel /etc/sudoersfile:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Questo non funziona come previsto. Se eseguo il comando come utente zabbix con sudo, mi chiede la password (anche se ho specificato l' NOPASSWDopzione).

Tuttavia, questo funziona:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Ma ha lo svantaggio di consentire tutti i sottocomandi di apt-get. C'è un modo in cui posso risolvere questo problema per consentire solo un comando specifico?

Non sono d'accordo con la distensione. Anche se funzionerà, non è necessario awkeseguire come root. Non mi sentirei a mio agio con questo perché potresti essere in grado di attaccare awkin qualche modo. Dopotutto è un interprete del linguaggio di programmazione completo.

Quando uno viene eseguito sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', sono effettivamente in esecuzione sudo /usr/bin/apt-get --print-uris -qq -y upgradee quindi reindirizzano / reindirizzano come utente chiamante.

Prova questo: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

A proposito, non c'è niente di sbagliato nel mettere questo in una sceneggiatura come fa lain e puoi ancora farlo. Se possibile, eviterei di eseguire awk come root.

Probabilmente stai fallendo nel modo in cui il reindirizzamento interagisce con sudo. Il reindirizzamento viene eseguito all'utente chiamante e non all'utente privilegiato. Probabilmente sarebbe più facile per te avvolgere il tuo comando in uno script e quindi consentire all'utente zabbix di eseguire quello script, ad es.

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

il set sudoers come

zabbix  ALL=NOPASSWD: /path/to/script

Ora l'intero script verrà eseguito come utente privilegiato e non solo per il comando apt-get specifico. Assicurati però che l'utente zabbix non possa scrivere nello script.