Dotaz: start Apache a Mysql pomocí skriptu a sudoers

[Pavel]

Apache a MySQL si na localu startuji ručně. Chtěl bych to dělat ne v konzoli, ale pomocí skriptu. Vytvořil jsem soubor start.sh s obsahem:

/bin/systemctl start mysqld.service

/usr/sbin/apachectl start

Funguje to, ale musím pro každý příkaz zadávat heslo správce.

Chtěl bych využít Sudoers, ale neumím s tím pracovat. Našel jsem soubor /etc/sudoers, sudoers.dist a adresář sudoers.d Jméno přihlášeného uživatele je p, do souboru /etc/sudoers jsem tedy napsal:

User_Alias PADMIN = p

Cmnd_Alias STARTAPACHE = apachectl start

Cmnd_Alias STARTMYSQL = systemctl start mysqld.service

PADMIN ALL = NOPASSWD: STARTAPACHE

PADMIN ALL = NOPASSWD: STARTMYSQL

Po spuštění mého souboru start.sh ale pořád dialog vyžaduje 2x heslo. Co je špatně? Díky za rady.

---

---

Odpovědi

[ping-pong]

Pouzi setuid. Umozni spustat program pod inymi prava ako ten co ich spustat. Napr. program na spravu hesiel sa pusta pod pravami rootra, aby mohlo menit subor /etc/passwd, ktoreho vlastnikom je root. Ale ten program passwd moze spustit hocijaky uzivatel.

Techn. poznamka: Setuid bit sa da nastavit len pre programy, nie skripty. Takze si budes musiet vytvorit pomocny program, ktory bude setuid a on bude volat skript.

Nech:

/opt/my_at_start                    # priecinok, kde je ulozeny program pri starte
/opt/my_at_start/program_at_start   # program, kt. sa bude spustat s pravami root
/opt/my_at_start/program_at_start.c # program v c
/opt/my_at_start/my_start_script.sh # skript v (ba)sh, ktory spustas

Potom:

obsah program_at_start.c

#include <stdib.h>
#include <unistd.h>

int main(int argc, char **argv)
{
    setuid(0);   // you can set it at run time also
    system("/opt/my_at_start/my_start_script.sh");
    return 0;
}

preklad program z c

gcc /opt/my_at_start/program_at_start.c -o /opt/my_at_start/program_at_start

nastavenei prav na setuid (ako root)

chmod 1000 /opt/my_at_start/program_at_start
chmod +s /opt/my_at_start/program_at_start

obsah skripty

# u mna dmesg moze spustat iba root, tak som napr. nim to testoval
dmesg

Spustenie skriptu ako bezny uzivatel s pravami root

$ /opt/my_at_start/program_at_start 

Podklady, skompletizovane, upravene a odskusane z unix.stackexchange.com.

[Filip Jirsák]

To je bohužel nedobrá rada. Autor požaduje spustit pod specifickým uživatelem něco jako root. Ty mu radíš, aby si zkompiloval jednoduchý program, který bude spouštět ten skript a aby si na něm nastavil set uid bit. Jenomže tím docílíš toho, že každý uživatel v systému bude mít práva pro spuštění toho souboru, bude tedy moci ovládat mysql a apache. Leda by si ty práva na tom souboru pohlídal a v budoucnu se nespletl/omylem nezměnil atd.
Ale proč to dělat, když stačí jeden řádek v sudoers?
Tvá rada se spíš hodí pro automatizaci, kdy něco stavím a chci něco automaticky spouštět (dřív jsem to tak měl na jednom terminále, dnes nevím, zda bych to ještě použil, možností je dnes mnohem více, než v minulosti).

Jinak tam máš chybu, nemá být "<stdib.h>", ale "<stdlib.h>"
Zdar Max

[ping-pong]

true all

[Filip Jirsák]

Přidáš do sudo :

sudoedit /etc/sudoers.d/p-user
p ALL = (ALL) NOPASSWD: /usr/local/bin/my_start.sh

A pak zavoláš z uživatele "p"

sudo /usr/local/bin/my_start.sh

Nebo :

sudoedit /etc/sudoers.d/p-user
p ALL=NOPASSWD: /bin/systemctl start mysqld.service
p ALL=NOPASSWD: /bin/systemctl stop mysqld.service
p ALL=NOPASSWD: /usr/sbin/apachectl start
p ALL=NOPASSWD: /usr/sbin/apachectl stop

A pak zavoláš z uživatele "p"

sudo /bin/systemctl start mysqld.service
...

Zdar Max

[funguje to!]

Max: Funguje to! Díky. Na sudo /bin/systemctl start mysqld.service jsem si vytvořil na ploše ještě soubor start.sh a ten spouštím myší. Jen se mi při jeho startu ukazuje okno, které píše:

Chcete spustit "start.sh" nebo zobrazit jeho obsah?
"start.sh" je spustitelný textový soubor.

A tlačítka nabízí: Spustit v terminálu, Zobrazit, Zrušit a Spustit.

Je možné nastavit, aby se start.sh spustil bez tohoto dialogu?

Díky. Pavel

[Max]

To je věc grafického prostředí, takže to se nastavuje v rámci něj. Napiš co používáš a někdo ti snad poradí.
Zdar Max

[Max]

Sice nevím, co používáš za DE, ale možná by bylo lepší místo umístění bash souboru na plochu, vytvořit pro ten skript zástupce, kde právě lze zadat, jak se má spouštět.
Zdar Max

[Pavel]

... Tak tohle je pro mě jako cizí řečí Co je to DE? Jak vytvořím zástupce pro skript? Díky předem za radu.

[Pavel]

Už to mám. Klik pravým tlačítkem na plochu - Vytvořit spouštěč -
Název: Start

Příkaz: sudo /usr/local/bin/my_start.sh

A funguje to. Díky.

[Pavel]

Jedu v Mageia 6 a používám MATE jago grafické prostředí.

[ping-pong]

Vytvor program co Ti spusta skript a daj si ho na plochu. :)