☰

Отказано в доступе sed при использовании pam_exec с su

tag-icon • tag-icon pam su
Отказано в доступе sed при использовании pam_exec с su

Я использую pam_mount.so для автоматического монтирования общего ресурса CIFS для пользователей на клиенте Ubuntu 14.04.

pam_mount использует локальный конфиг в домашнем каталоге каждого пользователя. Я запускаю скрипт bash с pam_exec, который обновляет файл конфигурации с указанием пути к общему ресурсу CIFS.

Конец моего файла /etc/pam.d/common-session выглядит так:

session required    pam_unix.so 
session optional    pam_exec.so log=/var/log/pamexec /usr/local/bin/mdrive_add
session optional    pam_mount.so 
session optional    pam_ldap.so 
session optional    pam_systemd.so

При входе через SSH или через графический интерфейс это работает, скрипт запускается перед монтированием, поэтому общий ресурс доступен.

Однако при использовании su скрипт завершается ошибкой, а локальная конфигурация пользователя не обновляется, поэтому монтирование также завершается ошибкой.

При использовании su из [accountA] в [accountB] возникает следующая ошибка:

/bin/sed: couldn't open temporary file /home/[accountB]/sednpoogQ: Permission denied

Строка в скрипте, которая дает сбой, следующая:

/bin/sed -i "s|\@S|${XSERVER}|g" /home/${PAM_USER}/.pam_mount.conf.xml

Я пробовал запускать скрипт из ~/.profile и других мест, он работает безупречно, но не запускается до pam_mount.

Итак, мой вопрос: как заставить pam_exec заменить строку в текстовом файле, находящемся в домашнем каталоге пользователя, при использовании su?

Обновлять

Согласно комментариям, я пробовал 'sudo -u [accountb] -i' (после включения @common-session в /etc/pam.d/sudo), и это не возвращает ту же ошибку, это работает. Однако это не приемлемое решение, так как мне требуется su для работы (и это вызывает запрос пароля от pam_mount).

Обновление2

Я вошел в систему через ssh, сделал дамп env в файл, а затем вошел в систему через ssh из другой учетной записи, использовал su и сделал дамп env в файл.

Сравнивая два (имена учетных записей заменены на accounta и accountb, как в вопросе):

$ comm -3 <(sort ssh_list.txt ) <(sort su_list.txt)
    PASSWD_FD=0
    _PMT_DEBUG_LEVEL=0
    PWD=/home/[accounta]
PWD=/home/[accountb]
SHLVL=1
    SHLVL=2
    SSH_CLIENT=10.112.9.87 58090 22
SSH_CLIENT=10.112.9.87 58695 22
    SSH_CONNECTION=10.112.9.87 58090 10.80.0.68 22
SSH_CONNECTION=10.112.9.87 58695 10.80.0.68 22
SSH_TTY=/dev/pts/13
    SSH_TTY=/dev/pts/14
    XDG_RUNTIME_DIR=/run/user/1000
XDG_RUNTIME_DIR=/run/user/10006
    XDG_SESSION_ID=6
XDG_SESSION_ID=7

Обновление3

Добавлен полный скрипт, запускаемый pam_exec (конфиденциальная информация заменена заполнителями):

#!/bin/bash
USERN=$PAM_USER
if grep -q @S /home/${USERN}/.pam_mount.conf.xml || grep -q @P /home/${USERN}/.pam_mount.conf.xml; then
    BASEDIR=`ldapsearch -LLL -H ldaps://dc.example.org:3269 -D "[email protected]" -b "DC=c,DC=sdu,DC=dk" -w [secretpw] "sAMAccountName=${USERN}" dn`;
    PREFIX="dn:: "
    BASEDIR=${BASEDIR#$PREFIX}
    PREFIX="dn: "
    BASEDIR=${BASEDIR#$PREFIX}
    BASEDIR=`echo $BASEDIR | tr -d ' '`
    if [[ $BASEDIR != *","* ]]
        then
               BASEDIR=`echo $BASEDIR | base64 --decode`
        fi
    BASEDIR=`echo $BASEDIR | tr -d ' \n' | awk -F "DC=" '{ st = index($0,"DC=");print substr($0,st+0)}'`;
    DOMAIN=`echo $BASEDIR | sed 's/,DC=/./g' | sed 's/DC=//'`;
    OUTPUT=`ping -c 1 -t 10 $DOMAIN | grep icmp`
    HOMEDIR='\\fallbackserver\share'
    if [[ -n "$OUTPUT" ]]
        then
            DC=`echo $OUTPUT| cut -d' ' -f 4`
            HOMEDIR=`ldapsearch -LLL -H ldaps://$DC:636 -D "[email protected]" -b "${BASEDIR}" -w [secretpw] "sAMAccountName=${USERN}" homeDirectory | grep homeDirectory | awk '{print $2}'`;
        fi
    CHOMEDIR=$(echo ${HOMEDIR} | sed 's/\\/\//g')

    XSERVER=`echo $CHOMEDIR | cut -f3 -d/`
    XPATH=`echo $CHOMEDIR | cut -f4- -d/`



    /bin/sed -i "s|\@S|${XSERVER}|g" /home/${USERN}/.pam_mount.conf.xml
    /bin/sed -i "s|\@P|${XPATH}|g" /home/${USERN}/.pam_mount.conf.xml
fi

Обновление4

Размещение whoami в скрипте показывает, что при использовании su от accounta к accountb скрипт запускается accounta.

Обновление5

Использование параметра «seteuid» с pam_exec решило проблему. session optional pam_exec.so seteuid log=/var/log/pamexec /usr/local/bin/mdrive_add

whoami теперь показывает «root» при переключении с A на B, и проблем с правами доступа нет.

Я не понимаю термины «реальный идентификатор пользователя» и «эффективный идентификатор пользователя» в руководстве по pam_exec, но это вопрос для другого дня.

По умолчанию pam_exec.so выполнит внешнюю команду с реальным идентификатором пользователя вызывающего процесса. Указание этой опции означает, что команда будет запущена с эффективным идентификатором пользователя.

решение1

Проблема заключалась в том, что при входе в su pam_execсистему скрипт выполнялся от имени «старого» пользователя, у которого не было прав на запись в домашний каталог «нового» пользователя.

Установка этой seteuidопции session optional pam_exec.so log=/var/log/pamexec /usr/local/bin/mdrive_addзаставила pam_execвыполнить скрипт от имени пользователя root, что решило проблему:

session optional pam_exec.so seteuid log=/var/log/pamexec /usr/local/bin/mdrive_add

Однако «настоящим» решением, вероятно, является /etc/pam.d/suправильная настройка, с которой я все еще работаю; я обновлю этот ответ, как только пойму правильный способ настройки /etc/pam.d/su.

Связанный контент