如何以系统用户身份运行 bash 命令而不赋予该用户以任何用户身份运行命令的权利

Question

我编写了一个包含这一行的 python 脚本：

response = subprocess.check_output(['/usr/bin/sudo /bin/su - backup -c "/usr/bin/ssh -q -o StrictHostKeyChecking=no %s bash -s" <<\'EOF\'\nPATH=/usr/local/bin:$PATH\nmvn --version|grep -i Apache|awk \'{print $3}\'|tr -d \'\n\'\nEOF' % i], shell=True)

这是在一个遍历主机名列表的 for 循环中，我想检查每个主机名的命令结果。当我自己运行它时，它工作得很好，但是，这个脚本将由系统用户（shinken - nagios fork）运行，此时我遇到了一个问题。

shinken ALL=(ALL) NOPASSWD: ALL

但是，我想限制用户只允许它作为备份用户运行：

shinken ALL=(backup) NOPASSWD: ALL

但是当我运行脚本时，我得到：

sudo: no tty present and no askpass program specified

我已经阅读并尝试了一些方法来解决它。我尝试将 -t 添加到我的 ssh 命令中，但这没有帮助。我相信我应该能够使用类似于以下内容的命令运行该命令：

response = subprocess.check_output(['/usr/bin/sudo -u backup """ "/usr/bin/ssh -q -o StrictHostKeyChecking=no %s bash -s" <<\'EOF\'\nPATH=/usr/local/bin:$PATH\njava -version|grep -i version|awk \'{print $3}\'|tr -d \'\n\'\nEOF""" ' % i], shell=True)

但后来我得到了这样的回应：

subprocess.CalledProcessError: Command '['/usr/bin/sudo -u backup """ "/usr/bin/ssh -q -o StrictHostKeyChecking=no bamboo-agent-01 bash -s" <<\'EOF\'\nPATH=/usr/local/bin:$PATH\njava -version|grep -i version|awk \'{print $3}\'|tr -d \'\n\'\nEOF""" ']' returned non-zero exit status 1

如果我手动运行命令，我会得到：

sudo:  /usr/bin/ssh: command not found

这很奇怪，因为那是它生活的地方......我不知道我正在尝试的东西是否可能。感谢您的任何建议！

Answer 1

至于sudo：

shinken ALL=(backup) NOPASSWD: ALL

...仅当您将 直接 从 shinken 切换到 backup 时才有效。 您没有在此处这样做。 sudo su - backup 告诉sudo 切换到root，并运行命令su - backup 作为root。显然，如果你要使用 sudo su（我在其他地方建议不要这样做），你需要你的 /etc/sudoers 配置来支持它。

因为您的/etc/sudoers 不允许直接切换到您请求的root，它正在尝试提示输入密码，这需要 TTY，从而导致失败。

下面，我重写脚本直接从shinken切换到backup，没有经过root并运行su：

---

至于脚本：

import subprocess

remote_script='''
PATH=/usr/local/bin:$PATH
mvn --version 2>&1 | awk '/Apache/ { print $3 }' 
'''

def maven_version_for_host(hostname):

    # storing the command lets us pass it when constructing a CalledProcessError later
    # could move it directly into the Popen creation if you don't need that.
    cmd = [
        'sudo', '-u', 'backup', '-i', '--',
        'ssh', '-q', '-o', 'StrictHostKeyChecking=no', str(hostname),
        'bash -s' # arguments in remote-command position to ssh all get concatenated
                  # together, so passing them as one command aids clarity.
    ]
    proc = subprocess.Popen(cmd,
        stdin=subprocess.PIPE, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
    response, error_string = proc.communicate(remote_script)
    if proc.returncode != 0:
        raise subprocess.CalledProcessError(proc.returncode, cmd, error_string)
    return response.split('\n', 1)[0]