Erlaube komplexen sudo Befehl unter Debian Linux

Ich muss einen bestimmten Befehl auf einer Debian Linux-Box für einen einzelnen Benutzer zulassen. Ich habe dies in der /etc/sudoersDatei versucht :

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Das funktioniert nicht wie erwartet. Wenn ich den Befehl als Benutzer zabbix mit sudo ausführe, fragt er nach dem Kennwort (obwohl ich die NOPASSWDOption angegeben habe).

Dies funktioniert jedoch:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

apt-getHat aber den Nachteil, dass alle Unterbefehle von erlaubt sind. Gibt es eine Möglichkeit, wie ich dies beheben kann, um nur einen bestimmten Befehl zuzulassen?

Ich bin nicht einverstanden mit Lain. Obwohl es funktionieren wird, müssen Sie nicht awkals root ausgeführt werden. Ich würde mich damit nicht wohl fühlen, weil Sie in der Lage sein könnten, auf awkirgendeine Weise anzugreifen . Es ist schließlich ein vollständiger Programmierspracheninterpreter.

Wenn eine ausgeführt wird sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', werden sie tatsächlich ausgeführt sudo /usr/bin/apt-get --print-uris -qq -y upgradeund leiten dann als aufrufender Benutzer um.

Versuche dies: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

Übrigens, es ist nichts Falsches daran, dies so in ein Skript einzufügen, wie es Lain tut, und das könnten Sie immer noch tun. Ich würde es einfach vermeiden, awk als root auszuführen, wenn es möglich ist.

Wahrscheinlich stören Sie die Art und Weise, wie die Umleitung mit sudo interagiert. Die Umleitung erfolgt beim anrufenden Benutzer, nicht beim privilegierten Benutzer. Es wäre wahrscheinlich einfacher für Sie, Ihren Befehl in ein Skript zu packen und dann dem zabbix-Benutzer zu erlauben, dieses Skript auszuführen, z

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

die eingestellten Sudoer wie

zabbix  ALL=NOPASSWD: /path/to/script

Jetzt wird das gesamte Skript als privilegierter Benutzer ausgeführt und nicht nur der bestimmte Befehl apt-get. Stellen Sie jedoch sicher, dass der zabbix-Benutzer nicht in das Skript schreiben kann.