Как ввести пароль только один раз в bash-скрипте, требующем sudo

Данные

• Я хочу, чтобы пользователи-операторы на этой машине монтировали свои собственные ресурсы cifs.
• sudoersФайл уже содержит /bin/mount -t cifs //*/* /media/* -o username=*команду для всех операторов
• Я хочу, чтобы пользователи монтировали cifsобщий ресурс через скрипт, набирая пароль только один раз, а не дважды.
• Пароль sudo и пароль cifs идентичны.

Что у меня уже есть

Этот скрипт работает:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... но это требует, чтобы пользователи вводили один и тот же пароль дважды!

• Один раз для sudo
• Один раз для самой горы

Это также будет работать:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... но для этого нужно, чтобы все операторы могли это делатьsudo sh (серьезная проблема безопасности)

Вопрос

Как смонтировать долю CIFS в Баш ¹ без ввода shв sudoersфайл и не создавая постоянный / временный файл ???

_{Примечание 1: нет Python, Perl, C, Go, ... пожалуйста?
Примечание 2: я знаю, что могу просто удалить пароль через sudoersфайл, но я пытаюсь повысить безопасность, а не ослабить его, не отказываясь от удобства ...}

Вместо этого вы должны заставить пользователя использовать sudo as sudo script. просто проверьте, запускается ли скрипт от имени пользователя root, если не спросите его

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Не пытайтесь захватить пароль ваших пользователей.

Я тупой!

Следующий скрипт:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

просто работает и:

1. Не создает никаких файлов, содержащих пароли
2. Позволяет пользователю вводить только один пароль для нескольких общих ресурсов (включая Windows)
3. Не нуждается в дополнительных привилегиях. :-)

Не требовать sudoпароля для выполнения этой команды; запрос пароля mountостается.

В sudoers, включить что-то вроде

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

После включения этого sudoбольше не будет запрашивать пароль для этой конкретной команды; пользователь все еще должен предоставить пароль для mountкоманды.

Примечание : я взял команду дословно из того, что вы включили в вопрос; Я не проверял, позволят ли его подстановочные знаки пользователям делать что-то неприятное. Прочитайте sudoersman-страницу для примеров злобности. В частности, обратите внимание, что эта строка sudoersпозволяет пользователю добавлять любое количество -oпереключателей или других аргументов mount. Возможно, вы захотите переосмыслить свой подход, например, добавив скрипт, такой как предлагает @Braiam, и разрешите его выполнение sudoбез дополнительной аутентификации. Затем сценарий гарантирует, что пользователи могут запускать только ту форму, mountкоторую вы хотите, чтобы они запускали.

Кроме того, вместо того, чтобы разрешить это для всех пользователей, вы также можете ограничить это членами определенной группы, например, вы можете создать группу cifsmountи затем иметь

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Общее решение этих проблем - поместить следующую преамбулу в начало вашего sudo, требующего сценариев:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Очевидно, что это имеет недостаток в том, что если некоторые команды в скрипте не требуют sudoзапуска, здесь есть ненужное повышение привилегий.

Во всяком случае, думал, что поделюсь этим маленьким советом. Самое приятное в этом то, что если вы уже являетесь пользователем root с эффективной эффективностью (например, если вы уже называли его с помощью sudo), он корректно поступает правильно. Также выдает ошибку и заставляет вас повторно вводить / перезапускать (с помощью sudo) менее дружественно.

Вы можете также захотеть проверить timestamp_timeoutпеременную, в man 5 sudoersкоторой указывается sudoзапоминать учетные данные пользователя в течение ограниченного количества минут (и может быть дробным).