Cómo ingresar la contraseña solo una vez en un script bash que necesita sudo

Datos

• Quiero que los usuarios operadores en esta máquina monten sus propios recursos compartidos cifs
• El sudoersarchivo ya contiene el /bin/mount -t cifs //*/* /media/* -o username=*comando para todos los operadores.
• Quiero que los usuarios monten un recurso cifscompartido a través de un script que escriba la contraseña solo una vez, no dos veces.
• La contraseña de sudo y la contraseña cifs son idénticas.

Lo que ya tengo

Este script funciona:

#!/bin/bash
sudo 'mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... ¡ pero requiere que los usuarios escriban la misma contraseña dos veces!

• Una vez para sudo
• Una vez para el monte mismo

Esto también funcionaría:

#!/bin/bash
echo -n Password: 
read -s szPassword
echo $szPassword | sudo -S sh -c 'echo $szPassword | mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER'

... pero esto requeriría que permita que todos los usuarios del operador puedansudo sh (problema de seguridad importante)

Pregunta

¿Cómo montar un recurso compartido cifs en bash ¹ sin poner shel sudoersarchivo ni crear un archivo permanente / temporal?

_{Nota 1: sin python, perl, C, Go, ... por favor?
Nota 2: Sé que puedo eliminar la contraseña a través del sudoersarchivo, pero estoy tratando de reforzar la seguridad, no aflojarla, sin renunciar a la comodidad ...}

En su lugar, debe hacer que el usuario haga la llamada de usar sudo como sudo script. solo verifique si el script se está ejecutando como root, si no, pídalo

if [[ $EUID -ne 0 ]]; then
   echo "This script must be run as root, use sudo "$0" instead" 1>&2
   exit 1
fi

No intentes capturar la contraseña de tus usuarios.

¡Soy tonto!

El siguiente script:

#!/bin/bash
read -p "Password: " -s szPassword
printf "%s\n" "$szPassword" | sudo --stdin mount -t cifs //192.168.1.1/home /media/$USER/home -o username=$USER,password="$szPassword"

simplemente funciona y:

1. No crea ningún archivo que contenga contraseñas
2. Permite al usuario escribir solo una contraseña para múltiples recursos compartidos (incluidos los de Windows)
3. No necesita privilegios adicionales para ser otorgados. :-)

No requiere sudocontraseña para ejecutar este comando; la contraseña solicita mountrestos.

En sudoers, incluye algo como

ALL        ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Después de incluir esto, sudoya no pedirá una contraseña para este comando específico; el usuario aún necesita proporcionar una contraseña para el mountcomando.

Nota : Tomé el comando textualmente de lo que incluiste en la pregunta; No verifiqué si sus comodines permitirían a los usuarios hacer algo desagradable. Lea la página de sudoersmanual para ver ejemplos de maldad. En particular, tenga en cuenta que esta línea sudoerspermite al usuario agregar cualquier número de -ointerruptores u otros argumentos mount. Es posible que desee repensar su enfoque, por ejemplo, agregando un script como @Braiam propone y permita ejecutarlo sudosin autenticación adicional. Luego, el script garantiza que los usuarios solo puedan ejecutar la forma específica de la mountque desea que ejecuten.

Además, en lugar de permitir esto para todos los usuarios, también puede limitar esto a los miembros de un determinado grupo, por ejemplo, puede crear un grupo cifsmounty luego tener

%cifsmount ALL = NOPASSWD: /bin/mount -t cifs //*/* /media/* -o username=*

Una solución general a estos problemas es colocar el siguiente preámbulo en la parte superior de su sudo que requiere scripts:

#!/bin/bash
case $EUID in
   0) : cool we are already root - fall through ;;
   *) # not root, become root for the rest of this session
      # (and ask for the sudo password only once)
      sudo $0 "$@" ;;
esac
# now the present process is effective-UID  (root)
# so there's no need to put sudo in front of commands

any more commands here will run as superuser ...

Obviamente, esto tiene un inconveniente en que si algunos comandos en el script no requieren sudoejecutarse, aquí hay una elevación innecesaria de privilegios.

De todos modos, pensé que compartiría este pequeño consejo. Lo mejor de todo es que si ya eres eficaz-uid root (por ejemplo, si ya lo llamaste bajo sudo), hace lo correcto con gracia. También es menos amigable dar un error y obligarlo a volver a escribir / volver a ejecutar (con sudo).

También es posible que desee consultar la timestamp_timeoutvariable en la man 5 sudoersque se le sudorecuerda recordar las credenciales del usuario durante un número limitado de minutos (y puede ser fraccional).