SSH経由でsudoする適切な方法

sudoを使用してリモートサーバーでSSH経由で別のスクリプトを実行するスクリプトがあります。ただし、パスワードを入力すると、端末に表示されます。（それ以外の場合は正常に動作します）

ssh user@server "sudo script"

入力時にパスワードが表示されずにSSH経由でsudoのパスワードを入力できるようにするには、これを行う適切な方法は何ですか？

もう1つの方法は、-tスイッチをssh次のように使用することです。

ssh -t user@server "sudo script"

を参照してくださいman ssh。

 -t      Force pseudo-tty allocation.  This can be used to execute arbi-
         trary screen-based programs on a remote machine, which can be
         very useful, e.g., when implementing menu services.  Multiple -t
         options force tty allocation, even if ssh has no local tty.

次のコマンドで完全に自動化できました。

echo pass | ssh -tt user@server "sudo script"

利点：

• パスワードプロンプトなし
• リモートマシンのbash履歴にパスワードを表示しない

セキュリティについて：としてクルトは言った、このコマンドを実行すると、ローカルのbashの歴史上のパスワードを示し、それは別のファイルにパスワードを保存するか.SHファイル内のすべてのコマンドを保存し、それを実行する方が良いでしょうします。注：許可されたユーザーのみがファイルにアクセスできるように、ファイルには正しい権限が必要です。

パスワードプロンプトが必要ない場合：

ssh $HOST 'echo $PASSWORD | sudo -S $COMMMAND'

例

ssh me@localhost 'echo secret | sudo -S echo hi' # outputs 'hi'

パスワードを渡すSSH上のsudo、ttyは不要：

sudoにsshを強制的に使用せずに（sshの "-t"スイッチを使用せずに）sudoでsudoを使用して、対話型パスワードを要求せず、標準入力からパスワードを取得するようにsudoに指示することができます。これを行うには、sudoで「-S」スイッチを使用します。これにより、sudoはstdinでパスワードをリッスンし、改行が検出されたときにリッスンを停止します。

例1-単純なリモートコマンド

この例では、簡単なwhoamiコマンドを送信します。

$ ssh user@server cat \| sudo --prompt="" -S -- whoami << EOF
> <remote_sudo_password>
root

プロンプトを出さずに、標準入力から入力を受け取るようにsudoに指示しています。これにより、sudoパスワードの通過が完全にサイレントになるため、返される唯一の応答はからの出力ですwhoami。

この手法には、標準入力を必要とするsshを介してsudoを介してプログラムを実行できるという利点があります。これは、sudoがstdinの最初の行でパスワードを使用しているため、実行するすべてのプログラムにstdinを引き続き取得させるためです。

例2-独自のstdinを必要とするリモートコマンド

次の例では、リモートコマンド「cat」がsudoを介して実行され、リモートのcatを表示するためにstdinを介して追加の行をいくつか提供しています。

$ ssh user@server cat \| sudo --prompt="" -S -- "cat" << EOF
> <remote_sudo_password>
> Extra line1
> Extra line2
> EOF
Extra line1
Extra line2

出力は、 <remote_sudo_password>行がsudoによって消費されていること、およびリモートで実行されたcatが追加の行を表示していることを示しています。

コマンドラインを使用せずにsshを使用して特権コマンドにパスワードを渡したい場合は、これが有益な例です。たとえば、sshを介してリモートの暗号化されたコンテナをマウントする場合は、

例3-リモートVeraCryptコンテナーのマウント

このサンプルスクリプトでは、追加のプロンプトテキストなしで、sudoを介してVeraCryptコンテナーをリモートでマウントしています。

#!/bin/sh
ssh user@server cat \| sudo --prompt="" -S -- "veracrypt --non-interactive --stdin --keyfiles=/path/to/test.key /path/to/test.img /mnt/mountpoint" << EOF
SudoPassword
VeraCryptContainerPassword
EOF

上記のすべてのコマンドラインの例（スクリプトを除くすべて）では<< EOF、コマンドラインの構成によって、入力したすべてのものが（パスワードを含めて）ローカルマシンの.bash_historyに記録されることに注意してください。したがって、実際に使用する場合は、上記のveracryptの例のようにスクリプト全体を使用するか、コマンドラインでパスワードをファイルに入力し、sshを介してそのファイルをリダイレクトすることを強くお勧めします。

例1a-ローカルコマンドラインパスワードを使用しない例1

したがって、最初の例は次のようになります。

$ cat text_file_with_sudo_password | ssh user@server cat \| sudo --prompt="" -S -- whoami
root

例2a-ローカルコマンドラインパスワードを使用しない例2

2番目の例は次のようになります。

$ cat text_file_with_sudo_password - << EOF | ssh va1der.net cat \| sudo --prompt="" -S -- cat
> Extra line1
> Extra line2
> EOF
Extra line1
Extra line2

スクリプトの内容を履歴に残さないため、スクリプトにすべてを入れる場合は、パスワードを別のファイルに入れる必要はありません。ただし、パスワードを表示してはいけないユーザーにスクリプトの実行を許可する場合は、この方法が役立つ場合があります。

最良の方法はssh -t user@server "sudo <scriptname>"、例えばssh -t user@server "sudo reboot"です。最初にユーザーのパスワードを入力し、次にrootの入力を求めます（root権限でスクリプトまたはコマンドを実行しているため）。

私はそれがあなたの疑いを助けてクリアしたことを願っています。

NOPASSターゲットマシンの構成でのソリューションです。続きを読むhttp://maestric.com/doc/unix/ubuntu_sudo_without_password

echo $VAR_REMOTEROOTPASS | ssh -tt -i $PATH_TO_KEY/id_mykey $VAR_REMOTEUSER@$varRemoteHost 
echo \"$varCommand\" | sudo bash

私は問題に直面しました、

user1@server1$ ssh -q user1@server2 sudo -u user2 rm -f /some/file/location.txt

Output:
sudo: no tty present and no askpass program specified

それから私は試してみました

#1
vim /etc/sudoers
Defaults:user1    !requiretty

うまくいきませんでした

#2
user1   ALL=(user2)         NOPASSWD: ALL

それは正しく機能しました！

あなたの使い方にもよりますが、私は次のことで成功しました：

ssh root@server "script"

これにより、rootパスワードの入力が求められ、コマンドが正しく実行されます。