Bagaimana cara menggunakan argumen perintah dengan Cmnd_Alias ​​di sudoers?

Bagaimana cara menentukan argumen perintah dalam sudoers? Sebagai latar belakang, awsperintah sebenarnya adalah pintu gerbang ke sejumlah besar sub-sistem dan saya ingin membatasi pengguna untuk hanya menjalankanaws s3 cp ...any other args...

Ketika saya mencoba yang berikut ini /etc/sudoers

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws s3 cp, /usr/local/aws/bin/aws s3 cp
gbt1 ALL=(gbt-ops) NOPASSWD: AWSS3_CMD

Sayangnya shell meminta kata sandi

$ sudo -u gbt-ops aws s3 cp helloworld s3://my-bucket/hw.1
gbt-ops's password:

Jika saya menghapus perintah args di Cmnd_Alias, maka itu mengalir sesuai keinginan (tanpa kata sandi), tetapi otorisasi terlalu luas. Jadi, apa cara yang benar untuk membatasi hanya jenis perintah tertentu saja .

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws, /usr/local/aws/bin/aws

Kemudian

$ sudo -u gbt-ops aws s3 cp helloworld s3://my-bucket/hw.1
...happy

Terima kasih banyak.

Anda belum menggunakan wildcard, tetapi telah memberikan dua argumen. Karenanya sudocari perintah persis seperti yang tertulis (kecuali path-lookup) (dari man 5 sudoers):

 If a Cmnd has associated command line arguments, then the arguments in
 the Cmnd must match exactly those given by the user on the command line
 (or match the wildcards if there are any).

Coba sesuatu seperti:

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws s3 cp *, /usr/local/aws/bin/aws s3 cp *

Perhatikan bahwa:

 Wildcards in command line arguments should be used with care.  Because
 command line arguments are matched as a single, concatenated string, a
 wildcard such as ‘?’ or ‘*’ can match multiple words. 

Jadi, hanya satu wildcard yang dibutuhkan per perintah.

Sama seperti @muru, tetapi bagi yang suka contoh kerja penuh:

# Cmnd alias specification
Cmnd_Alias ECHO_CMD=/bin/echo A *,/bin/echo B *

# Make USER run specific commands on given HOSTNAME
# USER_NAME 

#userx
userx ALL=(root) NOPASSWD: /sbin/cmd1,/sbin/cmd2,ECHO_CMD

Sementara /sbin/cmd1, /sbin/cmd2bisa berupa perintah lain.

Tujuannya ECHO_CMDadalah untuk menyajikan yang sudo echo X Aakan meminta frasa sandi, sementara sudo echo A Xtidak, dan untuk memungkinkan Anda mendapatkan kepercayaan diri melalui eksperimen sederhana tersebut.

(Diasumsikan bahwa gema duduk /bin/echo, untuk memeriksa di mana ia berada di sistem Anda coba whereis echo)