Comment entrer le mot de passe une seule fois dans un script bash nécessitant sudo

Les données

• Je souhaite que les utilisateurs opérateurs sur cette machine montent leurs propres partages cifs
• Le sudoersfichier contient déjà la /bin/mount -t cifs //*/* /media/* -o username=*commande pour tous les opérateurs
• Je veux que les utilisateurs montent un cifspartage via un script en tapant le mot de passe une seule fois, pas deux.
• Le mot de passe sudo et le mot de passe cifs sont identiques.

Ce que j'ai déjà

Ce script fonctionne:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... mais cela oblige les utilisateurs à taper deux fois le même mot de passe!

• Une fois pour sudo
• Une fois pour la monture elle-même

Cela fonctionnerait également:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... mais cela m'obligerait à permettre à tous les utilisateurs opérateurs de pouvoirsudo sh (problème de sécurité majeur)

Question

Comment monter un partage cifs dans bash ¹ sans mettre shle sudoersfichier ni créer un fichier permanent / temporaire ???

_{Note 1: pas de python, perl, C, Go, ... s'il vous plait?
Remarque 2: je sais que je peux simplement supprimer le mot de passe dans le sudoersfichier, mais j'essaie de renforcer la sécurité, pas de la desserrer, sans renoncer à la commodité ...}

Vous devriez plutôt faire appel à l'utilisateur en utilisant sudo as sudo script. vérifiez simplement si le script est exécuté en tant que root, sinon demandez-le

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

N'essayez pas de capturer le mot de passe de vos utilisateurs.

Je suis stupide!

Le script suivant:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

fonctionne et:

1. Ne crée aucun fichier contenant des mots de passe
2. Permet à l'utilisateur de taper un seul mot de passe pour plusieurs partages (y compris ceux de Windows)
3. N'a pas besoin d'accorder des privilèges supplémentaires. :-)

Ne nécessite aucun sudomot de passe pour exécuter cette commande; l'invite de mot de passe mountreste.

Dans sudoers, incluez quelque chose comme

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Après avoir inclus cela, sudone demandera plus de mot de passe pour cette commande spécifique; l'utilisateur doit toujours fournir un mot de passe à la mountcommande.

Remarque : J'ai pris la commande mot pour mot de ce que vous avez inclus dans la question; Je n'ai pas vérifié si ses caractères génériques permettraient aux utilisateurs de faire quelque chose de méchant. Lisez la sudoerspage de manuel pour des exemples de méchanceté. En particulier, notez que cette ligne sudoerspermet à l'utilisateur d'ajouter un nombre quelconque de -ocommutateurs ou d'autres arguments à mount. Vous voudrez peut-être repenser votre approche, par exemple en ajoutant un script tel que @Braiam le propose et en autorisant son exécution sudosans authentification supplémentaire. Le script garantit ensuite que les utilisateurs ne peuvent exécuter que la forme spécifique mountque vous souhaitez qu'ils exécutent.

De plus, au lieu de permettre cela à tous les utilisateurs, vous pouvez également limiter cela aux membres d'un certain groupe, par exemple, vous pouvez créer un groupe cifsmountet ensuite avoir

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Une solution générale à ces problèmes consiste à placer le préambule suivant en haut de votre sudo nécessitant des scripts:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Évidemment, cela a un inconvénient en ce sens que si certaines commandes du script ne nécessitent pas d' sudoêtre exécutées, il y a une élévation inutile des privilèges ici.

Quoi qu'il en soit, j'ai pensé partager cette petite astuce. La meilleure chose à ce sujet, c'est que si vous êtes déjà root efficace-uid (par exemple si vous l'avez déjà appelé sous sudo), il fait gracieusement la bonne chose. Donner également une erreur et vous forcer à retaper / réexécuter (avec sudo) est moins convivial.

Vous pouvez également vouloir vérifier la timestamp_timeoutvariable dans man 5 sudoerslaquelle indique sudode se souvenir des informations d'identification de l'utilisateur pour un nombre limité de minutes (et peut être fractionnaire).