Início / unix / Perguntas / 406434
Accepted
Nir Friedman
Asked: 2017-11-23 16:22:26 +0800 CST

Execute um único comando como outro usuário; restrições ao sudo

  • 772

Estou trabalhando em uma máquina onde não tenho root, mas existe uma lista de sudocomandos permitidos. Um desses comandos é /bin/su - foouser. Assim, posso digitar sudo su - foousere obtenho um shell interativo como foouser. Então eu posso executar algumas coisas como arquivos foouser.

O problema é que foouseré um usuário/shell compartilhado usado para gerar certos processos de produção importantes. Não posso personalizá-lo facilmente ou configurá-lo da maneira que desejo. E eu não deveria estar trabalhando nele de forma consistente, o que divide meus terminais e o histórico de comandos entre aqueles em que estou conectado como eu mesmo e aqueles em que estou foouser.

O que eu realmente gostaria de fazer é ter uma maneira de executar um único comando como foouser, bloqueá-lo, imprimir stdout e stderr no meu shell como um comando normalmente faria e, em seguida, retornar comigo ainda conectado como eu mesmo (e não foouser). Isso poderia, por exemplo, ser encapsulado em um script para que as_foo barexecute o comando bar, como foouser, imprima stdout e stderr, retorne o código de retorno de bar, e então me coloque de volta em meu shell.

Posso pedir aos administradores do sistema para alterar as permissões. Por exemplo, eles poderiam adicionar barà lista sudo e eu poderia usar (eu acho) su -cpara executar a barra da maneira que descrevi. Mas aí se no dia seguinte eu quiser correr bar2, tenho que falar com eles de novo.

Existe alguma saída para esse dilema? Parece um tanto bobo porque obviamente posso me tornar foousere executar quantos comandos quiser, então não há diferença em termos de segurança que eu possa ver. Simplesmente não consigo encontrar nenhuma maneira óbvia e conveniente de tornar isso possível.

sudo su

2 respostas

  1. Best Answer

    sudo su - foouser <command>requer que você tenha pelo menos acesso root limitado para executar su - foouser <command>como root.

    sudo -u foouser <command>pode fazer o que quiser em uma única etapa. Mas requer que o administrador do sistema tenha concedido sudoacesso à foouserconta desta maneira:

    ignacio ALL=(foouser) ALL

    em vez desta forma:

    ignacio ALL=(root) su - foouser

    A configuração sudodessa maneira permitirá que você defina, por exemplo, um alias como você imaginou:

    as_foo='sudo -u foouser'

    E, evitando o su -, você pode continuar usando suas próprias personalizações: usar sudodessa maneira altera apenas a identidade do usuário, mas mantém HOMEseu valor anterior, lendo qualquer script de inicialização do shell e outras personalizações de seu diretório pessoal em vez de foouser's.

    (Claro, esses scripts devem ser lidos por esse outro usuário também, e qualquer script compartilhado que você possa executar é melhor referir-se ao foouserdiretório inicial explicitamente como /home/foouserem vez de apenas $HOME.)

    No entanto, existem algumas sudoconfigurações que podem impedir que essa solução funcione: se a always_set_homeopção sudo estiver definida no arquivo sudoers ou se a env_resetopção for definida sem adicionar HOMEà env_keeplista, HOMEserá redefinida de qualquer maneira. Em tal situação, tente adicionar a -Eopção de sudocomando para solicitar explicitamente a manutenção de seu ambiente.

    E quando você realmente deseja executar algo como foousercom o ambiente definido exatamente como quando está conectado como foouser(ou seja, o equivalente a sudo su - foouser), adicione a -iopção para solicitar isso especificamente. Portanto, sudo -i -u foouseré uma substituição 100% precisa de sudo su - foouser.

    Se você encontrar algum sistema com uma versão tão antiga sudoque não tenha a -iopção, use a -Hopção com sudo: não é um substituto perfeito, mas pode ser o suficiente. Uma versão tão antiga do sudoprovavelmente também terá alguns bugs conhecidos sensíveis à segurança, então valeria a pena atualizá-la de qualquer maneira.

    Você pode usar sudo -lcomo você mesmo para ver exatamente como seu acesso ao sudo é definido e quais opções de sudo (também conhecidas como entradas padrão) estão em vigor para você.

    • 1

  2. Passe argumentos adicionais para su.

    sudo su - foouser sh -c 'echo $USER'
    • -1

relate perguntas