如何根据参数阻止 sudo 命令 [关闭]

Question

我有一个像这样的具有 root 权限的文件

[root@testbox ~]# ls -l /etc/resolv.conf
-rw-r--r-- 1 root root 113 Feb 21 21:29 /etc/resolv.conf

我已使用 /etc/sudoer 为我的用户启用无密码 sudo

%mayur ALL=(ALL) NOPASSWD: ALL

我想要某种方式，如果我尝试编辑此特定文件，我会被阻止。 例如..我想根据文件名阻止这些命令

$ echo 123 | sudo tee /etc/resolv.conf  ## SHOULD GET BLOCKED
$ touch newfile | echo 123 > newfile | sudo cp newfile /etc/resolv.conf  ## SHOULD GET BLOCKED

我的努力：

%mayur ALL=(ALL) NOPASSWD: ALL,!/* /etc/resolv.conf

• 这根本没有帮助。
• 我还检查了 sudoers 手册页，但它 似乎对正则表达式的支持不是很好。

任何有效的东西都会有所帮助。谢谢。

编辑：我希望能够将解决方案应用于多个具有 sudo 访问权限的用户的多台服务器

Answer 1

您可以使用包装器：

#!/bin/bash
declare -A EXCLUDE
while IFS= read -r FILE; do
    EXCLUDE[$FILE]=.
done < /etc/sudoers.exclude-list
for ARG in "$@"; do
    TARGET=$(exec /usr/bin/readlink -m -- "$ARG")
    [[ -n $TARGET && -n ${EXCLUDE[$FILE]} ]] && {
        echo "sudo: Sorry, target is not allowed: $TARGET"
        exit 1
    }
done
exec /path/to/real/sudo-in-secured-location "$@"

其中/etc/sudoers.exclude-list 是基于行的绝对真实文件路径列表。条目不得包含多余的空格，列表不得为 DOS 格式。

此脚本必须与真正的 sudo 具有相同的所有权和权限。