Com sudo, por que as variáveis ​​de ambiente embutidas não são lidas corretamente sem -E em alguns sistemas?

Tenho um script bash que efetua login na minha instância do bitwarden usando o bwcli, da seguinte maneira:

teste.sh:

#!/usr/bin/sh
set -e -o pipefail

bw logout --quiet || true

BW_CLIENTID=$(cat ./credentials.json | jq -r '.client_id') \
BW_CLIENTSECRET=$(cat ./credentials.json | jq -r '.client_secret') \
bw login --apikey

O ./credentials.jsontem as seguintes permissões:

-rw-r--r-- 1 root root 169 Jun 10  2023 credentials.json

executar este script como um usuário comum funciona bem, mas às vezes preciso executá-lo como root, e notei que em alguns sistemas o bwcomando não lê as variáveis ​​de ambiente inline corretamente quando executado apenas com sudo, ele só funciona com sudo -E, então:

./test.sh         # always works
sudo ./test.sh    # works on some machines but not others
sudo -E ./test.sh # always works

Quando funciona, obtenho a saída:

You are logged in!

e quando isso não acontece eu recebo:

client_id or client_secret is incorrect. Try again.

Digo "corretamente" porque parece que ele está lendo as variáveis ​​de alguma forma, porque se eu remover uma das variáveis ​​de ambiente assim:

BW_CLIENTID=$(cat /mnt/keys/vaultwarden.json | jq -r '.client_id') \
bw login --apikey

Em vez disso, sou solicitado a informar o segredo do cliente (ou o ID do cliente, se eu remover BW_CLIENTID). Então, por algum motivo, os valores nas variáveis ​​de ambiente não são lidos corretamente sem a -Eopção, mas eles parecem estar lá.

Tentei criar um teste com um script geral da seguinte maneira:

foo.sh:

#!/usr/bin/sh
set -e

FOO=$(cat ./data.json | jq -r '.my_prop') \
BAR=$(cat ./data.json | jq -r '.other_prop') \
./bar.sh

barra.sh:

#!/usr/bin/sh
set -e

echo "foo: '$FOO'"
echo "bar: '$BAR'"

Mas executar qualquer um deles em qualquer um dos meus sistemas funciona, todos eles fornecem a saída esperada (o conteúdo de my_prope other_propem data.json) e não vejo diferença entre o valor impresso para nenhuma das variantes:

./foo.sh
sudo ./foo.sh
sudo -E ./foo.sh

Eu testei em vários sistemas, que são uma mistura de sistemas Ubuntu e Arch. Até agora, ele falhou sem ele -Eem todos os sistemas Ubuntu e alguns Arch, e funcionou sem ele -Eem apenas um sistema Arch.

Minhas principais perguntas são: se há uma maneira de sudoser configurado para sempre executar com -Eou algo semelhante? E se há uma diferença de formatação ao usar a -Eopção? (credenciais podem ter alguns caracteres estranhos, mas não entendo por que a -Eopção faria diferença)

Vi que o /etc/sudoersarquivo permite que você faça algo como:

Defaults env_keep += "HOME"

Mas todas essas linhas são comentadas em todos /etc/sudoersos arquivos (portanto, em todos os sistemas, incluindo o que está funcionando) e não há arquivos adicionais em /etc/sudoers.d/. Eu também tentei adicionar BW_CLIENTIDe BW_CLIENTSECRETassim, mas não teve efeito:

Defaults env_keep += "BW_CLIENTID"
Defaults env_keep += "BW_CLIENTSECRETS

Mas talvez existam outros lugares ou cenários?

nota lateral: presumo que isso possa ser apenas alguma peculiaridade no bwcli que o faz não ser capaz de pegar as variáveis ​​de ambiente corretamente em algum sistema sem -E, mas gostaria de saber se há configurações que eu poderia começar a olhar em meus próprios sistemas. No entanto, eu estaria interessado em qualquer dica sobre isso também.