Разрешить сложную команду sudo в Debian Linux

Мне нужно разрешить определенную команду в окне Debian Linux для одного пользователя. Я пробовал это в /etc/sudoersфайле:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Это не работает, как ожидалось. Если я запускаю команду как пользователь zabbix с sudo, она запрашивает пароль (хотя я указал эту NOPASSWDопцию).

Тем не менее, это работает:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Но имеет тот недостаток, что все подкоманды apt-getразрешены. Есть ли способ, как я могу это исправить, чтобы разрешить только определенную команду?

Я не согласен с Лейн. Хотя это будет работать, вам не нужно awkзапускаться от имени пользователя root. Мне было бы неудобно с этим, потому что вы могли бы атаковать awkкаким-то образом. В конце концов, это полный переводчик языка программирования.

Когда кто-то работает sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', они на самом деле работают, sudo /usr/bin/apt-get --print-uris -qq -y upgradeа затем отправляют / перенаправляют как вызывающий пользователь.

Попробуй это: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

Кстати, нет ничего плохого в том, чтобы поместить это в скрипт, как это делает Lain, и вы все равно можете это сделать. Я бы просто избегал запуска awk от имени root, если это возможно.

Вы, вероятно, недовольны тем, как перенаправление взаимодействует с sudo. Перенаправление выполняется у вызывающего пользователя, а не привилегированного пользователя. Возможно, вам будет проще заключить команду в сценарий, а затем разрешить пользователю zabbix запускать этот сценарий, например:

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

набор sudoers как

zabbix  ALL=NOPASSWD: /path/to/script

Теперь весь сценарий будет запускаться от имени привилегированного пользователя, а не только от конкретной команды apt-get. Убедитесь, что пользователь zabbix не может писать в скрипт.