dnf NOPASSWD в sudoers

Буквально на днях тоже самое делал, надоело pacman, fdisk -l, fbgrab и всему такому пароль вводить. Вот так у меня:

user ALL=(ALL) NOPASSWD: /usr/lib/openrc/bin/reboot, /bin/fdisk, /bin/pacman, /bin/fbgrab

Но я wheel не пользуюсь, просто юзера прописываю. На 99,9% уверен, что с wheel будет тоже самое.

UPD2 Я не правильно написал, та строка вообще тебе судо для всего, кроме этих команд вырубит (но они пароль просить не будут, да). Чтоб работало, нужны две строки, та, что выше, и сверху над ней вот такая:

user ALL=(ALL) ALL

Вместо юзер также можно %wheel или любую другую группу. Она дает юзеру (или группе) доступ ко всем командам через судо (а можно,например, запретить некоторые - то есть, чтобы определенные пользователи могли делать любые команды с судо, кроме указанных явно).

Там же приверы есть, просто откомментить, да ALL на пути к бинарникам заменить) http://0x0.st/-Ez1.png

У меня написано тоже самое, кроме (ALL) – насколько я понимаю, эта часть необязательная. Есть подозрения, что конкретно dnf в Федоре настроен по хитрому.

Попробуй команды с параметрами

комманд --параметр

Взять в ковычки.

Ещё ты можешь написать скрипты в которых прописать нужную тебе команду и уже эти скрипты разрешить вызывать через sudo.

Sudo, скорее всего, проверяет полное соответствие набранной команде тому, что прописано в файле sudoers, т.е. если ты даже пропишешь команду с длинными параметрами, а вызывать будешь с короткими, то не заработает.

Т.е. комманд --параметр комманд -а

Я про это в курсе, они у меня одинаково вызываются через алиасы:

$ cat ~/.zshrc | grep dnf.
230:alias dnf.upgrade="sudo dnf upgrade --assumeyes && flatpak update --assumeyes && yt-dlp -U"
231:alias dnf.install="sudo dnf install"
232:alias dnf.remove="sudo dnf remove"
233:alias dnf.search="sudo dnf --cacheonly search"
234:alias dnf.provides="sudo dnf --cacheonly provides"
235:alias dnf.list_installed="sudo dnf --cacheonly list installed"
236:alias dnf.repolist="sudo dnf --cacheonly repolist"
237:alias dnf.list_package_files="sudo dnf --cacheonly repoquery --list"
238:alias dnf.history_list="sudo dnf --cacheonly history list --reverse"
239:alias dnf.history_info="sudo dnf --cacheonly history info"
240:alias dnf.requires="sudo dnf --cacheonly repoquery --requires --resolve"
241:alias dnf.info="sudo dnf --cacheonly info"

Кроме того, iotop-c, nethogs, systemctl restart tor.service требуют рут, вызываются точно так же, как dnf и все работает.

Обязательная, я не написал случайно в первый раз и не работало нифига. И два вопроса, почему /etc/sudoers.d а не /etc/sudoers? И нафига на каждую команду строчку говордить? А, и у тебя там команды с опциями, попробуй в кавычки взять. А еще может быть, что через sudoers можно выключить пароль только к вызову бинарника как такового, безотносительно опций.

Как вариант для установки пакетов можно еще PackageKit использовать.

В любом случае:

%wheel ALL=(ALL) NOPASSWD: /usr/bin/dnf --cacheonly search

Все равно просит пароль.

С кавычками нельзя:

40-nopasswd:14:60: syntax error
%wheel ALL=(ALL) NOPASSWD: "/usr/bin/dnf --cacheonly search"
                                                           ^
What now? e

а /usr/bin/dnf у вас там это бинарник или скрипт?

cat /usr/bin/dnf

Это мало-того что не бинарник, это еще и символическая ссылка на скрипт /usr/bin/dnf-3:

from __future__ import unicode_literals
import sys


def suppress_keyboard_interrupt_message():
    """Prevent unsightly KeyboardInterrupt tracebacks.

    Nothing will be printed to the terminal after an uncaught
    :class:`exceptions.KeyboardInterrupt`.

    """
    old_excepthook = sys.excepthook

    def new_hook(type, value, traceback):
        if type != KeyboardInterrupt:
            old_excepthook(type, value, traceback)
        else:
            pass

    sys.excepthook = new_hook


# do this ASAP to prevent tracebacks after ^C during imports
suppress_keyboard_interrupt_message()

if __name__ != "__main__":
    sys.stderr.write('The executable DNF module must not be imported.')
    sys.exit(1)

here = sys.path[0]
if here != '/usr/bin':
    # git checkout
    import os
    dnf_toplevel = os.path.dirname(here)
    sys.path[0] = dnf_toplevel

from dnf.cli import main
main.user_main(sys.argv[1:], exit_code=True)

Теперь я не очень понимаю что надо добавить в sudoers.

так попробовать,

%wheel ALL=(имяюзера) NOPASSWD: /usr/bin/dnf --cacheonly search

Нет.

А если чисто скрипт без параметров

%wheel ALL=(имяюзера) NOPASSWD: /usr/bin/dnf

лучше сначала просто на юзере а не на группе [code]имяюзера ALL=(ALL) NOPASSWD: /usr/bin/dnf

Да нет, это не работает. Я предполагаю, что питонскрипт что-то там вызывает и именно это что-то и надо добавлять в sudoers. Посмотрел в htop что он там конкретно вызывает, добавил в sudoers и по прежнему требует пароль лол:

%wheel ALL = (ALL) NOPASSWD: /usr/bin/python3 /usr/bin/dnf --cacheonly search

лучше сначала просто на юзере

Same shit.

Ну попробовать еще шаблон мож прокатит. Идеи кончились

имяюзера	ALL=(ALL)       NOPASSWD: /usr/bin/dnf *

Хрен знает, у меня без кавычек работает,специально проверил.

Именно dnf?

Нет конечно, у меня же не rpm дистр.

Ну тогда УМВР не имеет смысла, кроме dnf у меня остальное тоже работает.

У меня dnf нормально работает. Я ничего не выдумывал писал как есть.

sudo dnf search отрабатывает без ввода пароля?

У меня там dnf offline-upgrade download и dnf offline-upgrade reboot. Сейчас попробую search. Кстати с search тебе там звездочку надо где-то поставить. dnf search bla != dnf search.

Спасибо, оказывается звездочка сработала. В командах, которые требуют аргументы нужно писать как-то так:

%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly search *
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repoquery --list *

Причем, если команда принимает может вызываться как с аргументом, так и без – нужно добавить запись и со звездочкой и без. В общем, выглядит это у меня так теперь:

$ cat /etc/sudoers.d/40-nopasswd | grep dnf
## DNF
# dnf.upgrade
%wheel ALL = NOPASSWD: /usr/bin/dnf upgrade --assumeyes
# dnf.search
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly search *
# dnf.provides
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly provides *
# dnf.list_installed
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly list installed
# dnf.repolist
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repolist
# dnf.list_package_files
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repoquery --list
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repoquery --list *
# dnf.history_list
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly history list --reverse
# dnf.history_info
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly history info
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly history info *
# dnf.requires
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repoquery --requires --resolve
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly repoquery --requires --resolve *
# dnf.info
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly info
%wheel ALL = NOPASSWD: /usr/bin/dnf --cacheonly info *

И два вопроса, почему /etc/sudoers.d а не /etc/sudoers?

Потому что так гораздо удобней, в т.ч. бэкапить. У меня есть свой отдельный файлик только с моими командами, который автоматом инклюдится без дистроспецифичного мусора и лишних комментов.

В федоровском /etc/sudoers (а может во всех так) в конце строчка

## Read drop-in files from /etc/sudoers.d (the # here does not mean a comment)
#includedir /etc/sudoers.d

Т.е. любой файл из директории sudoers.d автоматом инклюдится (но в имени не должно быть точки).

Отдельная петюня авторам sudo за непротиворечивый синтаксис, когда # может начинать и коммент, и директиву :)

Так как это разрешает выполнение произвольного кода без пароля — разрешай все команды без пароля.

Выше перечислены конкретные команды из моего sudo. Сочини команду, которая позволит «выполнение произвольного кода без пароля».

%wheel ALL=(ALL) NOPASSWD:ALL?

И где ты ее видишь в моем sudoers?

Тьфу, невнимательно прочитал вопрос.

Не, так пластаться можно, если хочется пластаться. Непонятно зачем, но можно.

Тут в соседнем треде выяснили, что %wheel через packagekit и так все может ставить из коробки, и это правильно.