Come inserire la password solo una volta in uno script bash che necessita di sudo

Dati

• Voglio che gli utenti dell'operatore su questa macchina montino le proprie condivisioni cifs
• Il sudoersfile contiene già il /bin/mount -t cifs //*/* /media/* -o username=*comando per tutti gli operatori
• Voglio che gli utenti montino una cifscondivisione tramite uno script digitando la password una sola volta, non due volte.
• La password sudo e la password cifs sono identiche.

Quello che ho già

Questo script funziona:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ma richiede agli utenti di digitare due volte la stessa password!

• Una volta per sudo
• Una volta per il monte stesso

Questo funzionerebbe anche:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ma questo mi richiederebbe di consentire a tutti gli utenti dell'operatore di essere in gradosudo sh (grave problema di sicurezza)

Domanda

Come montare una condivisione cifs in bash ¹ senza inserire shil sudoersfile né creare un file permanente / temporaneo ???

_{Nota 1: no python, perl, C, Go, ... per favore?
Nota 2: So che posso semplicemente rimuovere la password attraverso il sudoersfile, ma sto cercando di rafforzare la sicurezza, non di allentarla, senza rinunciare alla comodità ...}

Dovresti invece fare all'utente la chiamata di usare sudo as sudo script. controlla solo se lo script viene eseguito come root, se non lo chiedi

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Non tentare di acquisire la password dei tuoi utenti.

Sono stupido!

Il seguente script:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

funziona e basta:

1. Non crea alcun file contenente password
2. Consente all'utente di digitare una sola password per più condivisioni (comprese quelle Windows)
3. Non ha bisogno di ulteriori privilegi da concedere. :-)

Non richiede sudopassword per eseguire questo comando; la richiesta di password mountrimane.

In sudoers, includere qualcosa di simile

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Dopo averlo incluso, sudonon verrà più richiesta una password per questo comando specifico; l'utente deve comunque fornire una password al mountcomando.

Nota : ho preso il comando alla lettera da ciò che hai incluso nella domanda; Non ho verificato se i suoi caratteri jolly consentissero agli utenti di fare qualcosa di brutto. Leggi la sudoersmanpage per esempi di cattiveria. In particolare, si noti che questa riga in sudoersconsente all'utente di aggiungere qualsiasi numero di -oswitch o altri argomenti a mount. Potresti voler ripensare il tuo approccio, ad esempio aggiungendo uno script come @Braiam propone e consentire di eseguirlo sudosenza ulteriore autenticazione. Lo script garantisce quindi che gli utenti possano eseguire solo la forma specifica di mountcui si desidera che vengano eseguiti.

Inoltre, invece di consentire questo per tutti gli utenti, potresti anche limitarlo ai membri di un determinato gruppo, ad esempio potresti creare un gruppo cifsmounte quindi avere

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Una soluzione generale a questi problemi è mettere il seguente preambolo in cima al sudo che richiede script:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Ovviamente, questo ha il rovescio della medaglia nel fatto che se alcuni comandi nello script non necessitano sudodi essere eseguiti, qui c'è un inutile aumento dei privilegi.

Comunque, ho pensato di condividere questo piccolo suggerimento. La cosa più bella al riguardo è che se sei già root-efficace (ad es. Se l'hai già chiamato sotto sudo) fa con grazia la cosa giusta. Anche dare un errore e costringerti a riscrivere / rieseguire (con sudo) è meno amichevole.

Potresti anche voler controllare la timestamp_timeoutvariabile in man 5 sudoerscui dice sudodi ricordare le credenziali dell'utente per un numero limitato di minuti (e può essere frazionario).