Лучшие практики использования sudo в скрипте bash

У меня есть длинный и продолжительный скрипт bash, где несколько команд нужно запускать от имени пользователя root, в то время как большинство команд нужно запускать от имени обычного пользователя до sudo, потому что это может испортить владение файлами и тому подобное.

Я придумал несколько методов, но у каждого из них есть свои проблемы

Способ 1: использование sudo внутри файла

#!/bin/bash
sudo echo "I must be run by root"
touch needsToBeOwnedByUser1
echo "needs to be run by user"
sleep 1000
sudo echo "I, again, must be run by root"

Это выглядело бы хорошо, с точки зрения написания кода. sudoзаписывается перед несколькими операторами, которые на самом деле должны запускаться пользователем root, но если время между каждым sudoвызовом слишком велико, sudoснова запрашивается пароль. Кроме того, если первое выполнение sudoзавершается неудачно, например, из-за неверного пароля, остальная часть сценария все еще выполняется.

Способ 2: используя sudo для вызова файла, а затем при необходимости переключитесь обратно на первоначального пользователя

#!/bin/bash
echo "I must be run by root"
su username -c 'touch needsToBeOwnedByUser1'
su username -c 'echo "needs to be run by user"'
su username -c 'sleep 1000'
echo "I, again, must be run by root"

Это также отстой, потому что мне нужно добавить su username -cперед почти каждой строкой. Также возможно найти оригинальное имя пользователя после sudo, но громоздко.

Есть ли способ лучше?

Изменить: я только разместил здесь небольшие бессмысленные сценарии, чтобы показать, о чем я говорю. В реальном скрипте у меня есть несколько строк, которым нужен sudo (запуск и остановка служб), некоторые строки, где не имеет значения, есть ли sudo, и довольно много строк, которые действительно нужно запускать без sudo.

Что касается метода 2, проще использовать функцию. Например:

#!/bin/bash

func(){
    echo "Username: $USER"
    echo "    EUID: $EUID"
}

export -f func

func
su "$SUDO_USER" -c 'func'

$SUDO_USERэто имя пользователя sudoer. Вы также можете использовать $(logname)на своем месте.

Бег на моей машине:

$ sudo bash test.sh
[sudo] password for wja: 
Username: root
    EUID: 0
Username: wja
    EUID: 1000

Читая man sudoers, вы видите:

 PASSWD and NOPASSWD

   By default, sudo requires that a user authenticate him or herself
   before running a command.  This behavior can be modified via the
   NOPASSWD tag.  Like a Runas_Spec, the NOPASSWD tag sets a default for
   the commands that follow it in the Cmnd_Spec_List.  Conversely, the
   PASSWD tag can be used to reverse things.  For example:

   ray     rushmore = NOPASSWD: /bin/kill, /bin/ls, /usr/bin/lprm

   would allow the user ray to run /bin/kill, /bin/ls, and /usr/bin/lprm
   as root on the machine rushmore without authenticating himself. 

Таким образом, вы можете разрешить regularна хосте machine1выполнять command1и command2как корень, без пароля аутентификации с:

reguser machine1 root = NOPASSWD: /usr/local/command1, /usr/local/command2  

но прочитайте каждую из них man -k sudoдля деталей.

Может быть, это может помочь:

chmod 775 yourscript.sh

Затем вы можете использовать sudo внутри скрипта (без запроса пароля) и не можете использовать sudo для других команд внутри скрипта.