Permitir comando sudo complexo no Debian Linux

Eu preciso permitir um comando específico em uma caixa Debian Linux para um único usuário. Eu tentei isso no /etc/sudoersarquivo:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

Isso não funciona conforme o esperado. Se eu executar o comando como usuário zabbix com sudo, ele solicitará a senha (embora eu tenha especificado a NOPASSWDopção).

No entanto, isso funciona:

# User privilege specification
zabbix  ALL=NOPASSWD: /usr/bin/apt-get

Mas tem a desvantagem de que todos os subcomandos apt-getsão permitidos. Existe uma maneira de corrigir isso para permitir apenas um comando específico?

Eu discordo de mentir. Embora funcione, você não precisa awkexecutar como root. Eu não me sentiria confortável com isso, porque você poderá atacar awkde alguma forma. Afinal, é um intérprete de linguagem de programação completo.

Quando um é executado sudo /usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}', eles estão realmente em execução sudo /usr/bin/apt-get --print-uris -qq -y upgradee, em seguida , são redirecionados / redirecionados como o usuário que está chamando.

Tente o seguinte: zabbix ALL=NOPASSWD: /usr/bin/apt-get --print-uris -qq -y upgrade

A propósito, não há nada errado em colocar isso em um script como o lain faz e você ainda pode fazer isso. Eu evitaria executar o awk como root, se possível.

Você provavelmente está se enganando com a maneira como o redirecionamento interage com o sudo. O redirecionamento é realizado no usuário que chama e não no usuário privilegiado. Provavelmente seria mais fácil envolver seu comando em um script e permitir que o usuário do zabbix execute esse script, por exemplo

#!/bin/bash
/usr/bin/apt-get --print-uris -qq -y upgrade 2>/dev/null |awk '{print $2}' | wc | awk '{print $1}'

os sudoers definidos como

zabbix  ALL=NOPASSWD: /path/to/script

Agora, todo o script será executado como usuário privilegiado e não apenas o comando apt-get específico. Certifique-se de que o usuário do zabbix não possa gravar no script.