Bagaimana cara membuat sudo melindungi variabel lingkungan saya?

Menggunakan sudo 1.7.4p4 pada Solaris 5.10 dan sudo 1.6.7p5 pada RHEL4 u6 Saya tidak bisa melihat bagaimana cara melestarikan variabel lingkungan saya, misalnya $ PYTHONPATH. Saya telah menambahkan baris ini ke sudoers, tetapi tidak ada bedanya:

Defaults !env_reset

Apakah saya melakukan sesuatu yang salah, atau apakah instalasi sudo sama sekali tidak menghargai flag env_reset?

Sunting: Setidaknya pada Solaris, kami menemukan bahwa masalah ini tergantung pada shell! Shell root standar adalah Bourne, jika kita menjalankan bash di bawah sudo ( sudo bash),! Env_preset akan melestarikan lingkungan (termasuk PATH dan LD_LIBRARY_PATH). Ini adalah perilaku yang agak membingungkan yang harus saya katakan.

Gunakan dengan hati-hati, ada masalah keamanan dengan sudo dan variabel.

Dari man sudoerssaya temukan bahwa Anda harus menggunakan

Default env_reset
Default env_keep + = "PYTHONPATH OETERVARIABLE YETANOTHER"

Di Ubuntu, sudomempertahankan beberapa variabel. sudo -ilebih seperti masuk sebagai root dan kemudian menjalankan perintah. Keduanya mungkin tidak nyaman, yang pertama untuk sudo nano myfilemeninggalkan file yang dimiliki root di dalam rumah Anda dan yang terakhir untuk sudo -i nano myfileakan mencoba untuk membuka / root / myfile.

Lari

sudo printenv PATH

dan lihat apa yang memberi. Ini dia memberi

/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/X11R6/bin

sebagai contoh. Sekarang jalankan sudo visudodan tambahkan baris

Defaults        secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/X11R6/bin

mengganti dengan apa yang Anda temukan sebelumnya. Tambahkan jalur baru ke sana jika Anda perlu.

Tentang perpustakaan:

sudo LD_LIBRARY_PATH=/usr/lib/path/to/a/safe/library your command

Distribusi Linux membutuhkan banyak perhatian PATH, dan Anda harus benar-benar berhati-hati sebelum menggunakannya. Berhati-hatilah untuk menambahkan jalur seperti " ." atau /home/username, itu tidak aman.

Salah satu bahaya menambahkan jalur adalah membuka kemungkinan file pada jalur ini dieksekusi root, membuka jendela dalam keamanan sistem yang dapat dieksploitasi oleh perangkat lunak berbahaya. Mungkin ada bahaya lain. Pastikan Anda tahu apa yang Anda lakukan. Melewati sudolangkah-langkah keamanan dapat membuat Solaris Anda seaman Windows XP.

Mengotak-atik sudoersharus dilakukan dengan hati-hati, seperti yang orang lain katakan.

Pendekatan yang lebih sederhana untuk kasus yang lebih sederhana ketika ada variabel lingkungan tertentu yang ingin Anda pertahankan adalah dengan hanya melewati variabel lingkungan yang Anda inginkan secara langsung melalui sudo (ini ditampilkan seperti [VAR=value]dalam bantuan cmdline sudo).

Lihat contoh kecil ini di mana saya juga mendemonstrasikannya untuk lebih dari satu variabel.

$ export MY_V1=1
$ export MY_V2=2
$ printenv | grep MY_V
MY_V2=2
MY_V1=1
$ sudo MY_V1=$MY_V1 MY_V2=$MY_V2 printenv | grep MY_V
MY_V2=2
MY_V1=1

Untuk PYTHONPATHcontoh asli dalam pertanyaan, gunakan saja yang berikut:

$ sudo PYTHONPATH=$PYTHONPATH python some_script.py
<script_output_here>

Membuat alias untuk hal semacam ini sangat berguna. Seperti itu:

$ alias sudopy='sudo PYTHONPATH=$PYTHONPATH python'

Defaults !env_resetPenampilan Anda OK, dengan asumsi Anda tidak juga memanggil sudo dengan -Eopsi tersebut.

Anda dapat mencoba menghapus entri itu sepenuhnya.

Sudahkah Anda memverifikasi bahwa Anda mengedit file sudoers yang benar? Saya menduga itu bisa /etc/sudoersatau /usr/local/etc/sudoerstergantung pada bagaimana itu diinstal. Apakah Anda mengeditnya menggunakan visudo?

Bagaimana Anda menjalankan sudo? sudo python, sudo su, sudo su -, sudo -s, Sesuatu yang lain? Hanya sudo pythondan sudo suakan melestarikan lingkungan Anda.

Apa yang env | grep PYTHONPATHdikatakan? Jika tidak ada, pastikan PYTHONPATH diekspor dengan menjalankan export PYTHONPATHdan mencoba lagi.

Apa yang sudo env | grep PYTHONPATHdikatakan? Jika mencetak nilai yang diharapkan, maka yang lain menimpa nilai PYTHONPATH Anda. Mungkin root .bashrc atau .bash_profile atau file konfigurasi sistem.

Menurut dokumentasi Ubuntu untuk LD_LIBRARY_PATH :

Anda harus menggunakan file konfigurasi /etc/ld.so.conf.d/*.conf

Kemudian:

1. Tambahkan ld.sofile konfigurasi /etc/ld.so.conf.d/dengan path file AndaLD_LIBRARY_PATH

2. Perbarui cache dengan:

   sudo ldconfig -v