Sudo en "wildcards"

[Verwijderd]

Ik ben al enige tijd bezig om een oplossing te verzinnen voor dit probleem.

Ik wil bepaalde users sudo rechten geven op een bepaald commando, en in het pad van het commando moet de usernaam nog een keer voorkomen.

Bijvoorbeeld:

User:pietje01 Commando: /pietje01/bin/scriptje

Alle users heten pietje, alleen de 01 is variabel. Alle users die met pietje beginnen mogen in hun eigen pietje directory iets uitvoeren met sudo:

pietj01 mag /pietje01/bin/scriptje uitvoeren
pietje02 mag /pietje02/bin/scriptje uitvoeren

In sudo is dat met wildcards wel op te lossen (bijv):

pietje* ALL = (ALL) /pietje*/bin/scriptje

Maar nu mag pietje01 ook het script van pietje02 starten, en dat wil ik niet. Kan ik in sudo iets doen wat hierop lijkt?

pietje* ALL =(ALL) /$USER/bin/scriptje

[Spider.007]

Volgens mij is dit alleen met een [uitermate eenvoudige] wrapper te implementeren. Maak gewoon een bash-script oid die dit doet:

exec /$USERNAME/bin/scriptje

en zet die in je sudoers

[Verwijderd]

Of gebruik maken van groepen.

[engelbertus]

kun je niet de rechten voor de gebruikers van die scripts aanpassen?
met groepen moet je denk ik weer veel groepen maken.
(elke gebruiker een groep ?)

dan maak je de gebruiker van een dir eigenaar van het script en geef je de eigenaar rechten om het script uit te voeren.

maar hoe zit het dan nog met bijvoorbeeld dat je eerst het scripting programma aanroept, en dan het script opgeeft.

gebruiker:pietje01 commando: bash pietje02/bin/script ?

je moet dan dus ook al de leesrechten aanpassen ?

[zAo]

Spider.007 schreef op maandag 20 november 2006 @ 16:09:
Volgens mij is dit alleen met een [uitermate eenvoudige] wrapper te implementeren. Maak gewoon een bash-script oid die dit doet:

exec /$USERNAME/bin/scriptje

en zet die in je sudoers

Dit werkt wel, maar zo kun je het niet in je sudoers file zetten. Je shell vult namelijk eerst de variable, voordat het geverifieerd wordt.

Ik zou je sudoers file vullen met een scriptje.

EDIT: Trouwens: een export van $USERNAME kan ook.

[ Voor 5% gewijzigd door zAo op 21-11-2006 20:59 . Reden: edit. ]

[Rainmaker]

Nadeel aan die manier is dat de gebruikers alleen /bin/scriptje kunnen uitvoeren en niet /bin/ditisookeenscript.

Misschien nog met een ls erbij, dat in een cronjob, maar dat wordt wel erg lelijk.

[Spider.007]

zAo schreef op dinsdag 21 november 2006 @ 09:42:
[...]

Dit werkt wel, maar zo kun je het niet in je sudoers file zetten. Je shell vult namelijk eerst de variable, voordat het geverifieerd wordt.

Ik zou je sudoers file vullen met een scriptje.

EDIT: Trouwens: een export van $USERNAME kan ook.

Als je die regel in /sbin/wrapper.sh neerzet; en vervolgens mensen sudo rechten geeft op /sbin/wrapper.sh; dan is er toch geen enkel probleem

[Verwijderd]

Met hem Lijkt me vrij eenvoudig zo