Autoriser la commande sudo complexe sur Debian Linux

Je dois autoriser une commande spécifique sur une boîte Debian Linux pour un seul utilisateur. J'ai essayé cela dans le /etc/sudoersfichier:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Cela ne fonctionne pas comme prévu. Si j'exécute la commande en tant qu'utilisateur zabbix avec sudo, il demande le mot de passe (bien que j'aie spécifié l' NOPASSWDoption).

Cependant, cela fonctionne:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Mais a l'inconvénient que toutes les sous-commandes de apt-getsont autorisées. Existe-t-il un moyen de résoudre ce problème pour n'autoriser qu'une commande spécifique?

Je suis en désaccord avec laïque. Bien que cela fonctionne, vous n'avez pas besoin awkde l'exécuter en tant que root. Je ne serais pas à l'aise avec cela car vous pourriez être en mesure d'attaquer awkd'une manière ou d'une autre. C'est un interpréteur de langage de programmation complet après tout.

Lorsqu'on s'exécute sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', ils s'exécutent en fait sudo /usr/bin/apt-get --print-uris -qq -y upgrade, puis dirigent / redirigent en tant qu'utilisateur appelant.

Essaye ça: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

Soit dit en passant, il n'y a rien de mal à mettre cela dans un script comme le fait lain et vous pouvez toujours le faire. J'éviterais simplement d'exécuter awk en tant que root si possible.

Vous vous trompez probablement de la façon dont la redirection interagit avec sudo. La redirection est effectuée au niveau de l'utilisateur appelant et non de l'utilisateur privilégié. Il serait probablement plus facile pour vous d'envelopper votre commande dans un script et de permettre ensuite à l'utilisateur zabbix d'exécuter ce script, par exemple

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

l'ensemble sudoers comme

zabbix  ALL=NOPASSWD: /path/to/script

Maintenant, le script entier sera exécuté en tant qu'utilisateur privilégié et pas seulement la commande particulière apt-get. Assurez-vous cependant que l'utilisateur zabbix ne peut pas écrire dans le script.