`/ etc / sudoers` - especifica` env_keep` para apenas um comando?

Existe alguma maneira de especificar que sudodeve preservar determinadas variáveis de ambiente apenas para comandos especificados? Para alguns propósitos, eu gostaria do meu $HOMEenv. variável preservada quando executo certos comandos. Para outros propósitos e outros comandos, quero redefinir. Isso pode ser feito /etc/sudoers?

Editar:

Obrigado pelas respostas. Gostaria de saber se posso fazer uma pergunta de acompanhamento, que é "Por que, então, isso não funciona?"

No exemplo que estou tentando trabalhar, quero sudo nanoler o meu $HOME/.nanorc. Se eu usar isso:

Defaults:simon env_keep=HOME

funciona perfeitamente. Se eu usar isso:

Defaults!/bin/nano env_keep=HOME

ou isto:

Cmnd_Alias      NANO = /usr/bin/nano,/bin/nano,/bin/rnano
Defaults!NANO   env_keep=HOME

não está funcionando. Alguma sugestão sobre o porquê? (Estou no teste do Debian, aliás.)

(Nota: eu não acho nanoespecífico, btw - eu posso reproduzir o comportamento com um script bash de uma linha que simplesmente echos $HOME).

sudo

— simon
fonte

Em vez de tentar fazer com que o nano execute o sudo para usar o mesmo arquivo de configuração, use-o sudoedit. sudoeditirá executar copie o conteúdo de um arquivo para um arquivo tmp e execute o editor de sua escolha como usuário, quando o editor sair, verificará se você mudou alguma coisa e, se for o caso, substitua o original pelo editado. Você pode selecionar qual editor deseja que seja executado configurando os $EDITORenv $ ou $ VISUAL`.

— Arrowmaster 17/05

@ Arrowmaster - obrigado, isso parece ser uma abordagem melhor do que a que eu estava brincando. Desde que eu já estou enrolando sudocom uma função do meu próprio, eu simplesmente adicionado um if [ "$1" == "$EDITOR" ]; thenbloco e agora estou chamando sudoeditem vez :)

— simon

Respostas:

Para substituir env_keepapenas por /path/to/command(quando chamado por qualquer regra, por qualquer usuário) e pelo usuário joe(não importa qual comando ele esteja executando):

Defaults!/path/to/command env_keep=HOME
Defaults:joe env_keep=HOME

Você pode usar -=ou +=para remover ou adicionar uma entrada à env_keeplista.

— Gilles 'SO- parar de ser mau'
fonte

brilhante, obrigado. Não consegui encontrar um exemplo adequado dessa sintaxe. Agora que você me explicou, posso ver como deveria ter resolvido isso a partir da manpágina e me sinto um pouco tolo. Sem dúvida, essa resposta também ajudará outras pessoas.

— simon

@ Simon: Não se sinta tolo, eu também acho difícil descobrir a descrição da sintaxe na sudoerspágina de manual da descrição formal e os exemplos mais fáceis de localizar se você já sabe como escrevê-las.

— Gilles 'SO- stop be evil'

hmm - talvez eu tenha conversado em breve. Agora que eu tento isso, não consigo fazê-lo funcionar. Posso incomodá-lo a dar uma olhada na minha revisão?

— 17166 simon

@ Simon: Meu palpite é que você também tem uma entrada que permite fazer tudo e não possui essa env_keepconfiguração ( simon ALL = ALL). Sudo usa a última entrada correspondente.

— Gilles 'SO- stop be evil'

Cuidado, se secure_path está definida, você também terá que adicionar padrões: joe secure_path

— Jistanidiot

Cmnd_Alias      PBUILDER = /usr/sbin/pbuilder,/usr/sbin/cowbuilder
Defaults!PBUILDER       env_keep+=HOME

Essas linhas são próprias /etc/sudoerspara corrigir o problema que pbuilderprocura $HOMEseu arquivo de configuração do usuário, mas deve ser executado como root (movê-lo para /rootmeio que derrota o propósito de ter um sistema e um arquivo de configuração do usuário).

— Arrowmaster
fonte

Sim, esse é um caso de uso muito semelhante ao que eu tinha em mente, obrigado!

— 17166 simon

você tem alguma idéia de por que os exemplos na minha revisão não parecem funcionar?

— 17166 simon

O @simon sudo é muito exigente quanto à ordem das entradas em sua configuração; as entradas posteriores substituirão as anteriores. Pode haver algum conflito como esse na sua configuração.

— Arrowmaster 17/05

homens que sofrem:

   env_reset       If set, sudo will reset the environment to only contain
                   the LOGNAME, SHELL, USER, USERNAME and the SUDO_*
                   variables.  Any variables in the caller’s environment
                   that match the env_keep and env_check lists are then
                   added.  The default contents of the env_keep and
                   env_check lists are displayed when sudo is run by root
                   with the -V option.  If the secure_path option is set,
                   its value will be used for the PATH environment
                   variable.  This flag is on by default.

Portanto, sim, você pode fazer isso usando env_reset, env_keepe env_checkno seu / etc / sudoers.

— Paweł Brodacki
fonte