Como inserir a senha apenas uma vez em um script bash que precisa do sudo

Dados

• Quero que os usuários do operador nesta máquina montem seus próprios compartilhamentos cifs
• O sudoersarquivo já contém o /bin/mount -t cifs //*/* /media/* -o username=*comando para todos os operadores
• Quero que os usuários montem um cifscompartilhamento por meio de um script digitando a senha apenas uma vez, não duas.
• A senha do sudo e a senha do cifs são idênticas.

O que eu já tenho

Este script funciona:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... mas exige que os usuários digitem a mesma senha duas vezes!

• Uma vez para sudo
• Uma vez para a própria montagem

Isso também funcionaria:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... mas isso exigiria que eu permitisse a todos os usuários da operadorasudo sh (grande problema de segurança)

Questão

Como montar um compartilhamento cifs no bash ¹ sem colocar shno sudoersarquivo nem criar um arquivo permanente / temporário ???

_{Nota 1: sem python, perl, C, Go, ... por favor?
Nota 2: Eu sei que posso remover a senha através do sudoersarquivo, mas estou tentando aumentar a segurança, não afrouxá-la, sem abrir mão da conveniência ...}

Em vez disso, você deve fazer com que o usuário faça a chamada usando sudo as sudo script. basta verificar se o script está sendo executado como root, se não pedir

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

Não tente capturar a senha dos seus usuários.

Eu sou estúpido!

O seguinte script:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

apenas funciona e:

1. Não cria nenhum arquivo contendo senhas
2. Permite ao usuário digitar apenas uma senha para vários compartilhamentos (incluindo os do Windows)
3. Não é necessário conceder privilégios extras. :-)

Não requer sudosenha para executar este comando; a solicitação de senha mountpermanece.

Em sudoers, inclua algo como

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Após incluir isso, sudonão solicitará mais uma senha para este comando específico; o usuário ainda precisa fornecer uma senha para o mountcomando.

Nota : Eu peguei o comando literalmente do que você incluiu na pergunta; Não verifiquei se seus curingas permitiriam que os usuários fizessem algo desagradável. Leia a página de sudoersmanual para exemplos de maldade. Em particular, observe que essa linha sudoerspermite que o usuário adicione qualquer número de -oopções ou outros argumentos mount. Você pode repensar sua abordagem, por exemplo, adicionando um script como o @Braiam propõe e permitir executar isso sudosem autenticação extra. O script garante que os usuários possam executar apenas a forma específica mountque você deseja que eles executem.

Além disso, em vez de permitir isso para todos os usuários, você também pode limitar isso aos membros de um determinado grupo; por exemplo, você pode criar um grupo cifsmounte, em seguida, ter

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Uma solução geral para esses problemas é colocar o seguinte preâmbulo no topo do seu sudo, exigindo scripts:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Obviamente, isso tem uma desvantagem: se alguns comandos no script não precisarem sudoser executados, haverá uma elevação desnecessária de privilégios aqui.

Enfim, pensei em compartilhar essa pequena dica. A coisa mais legal sobre isso é que, se você já é um usuário-uid root eficaz (por exemplo, se você já o chamou no sudo), ele faz a coisa certa com elegância. Também dar um erro e forçá-lo a redigitar / executar novamente (com sudo) é menos amigável.

Você também pode verificar a timestamp_timeoutvariável na man 5 sudoersqual é sudonecessário lembrar as credenciais do usuário por um número limitado de minutos (e pode ser fracionário).