Как использовать аргументы команды с Cmnd_Alias ​​в sudoers?

Как указать аргументы команды в sudoers? В качестве фона, awsкоманда на самом деле является шлюзом для целой группы подсистем, и я хочу ограничить пользователя только для запускаaws s3 cp ...any other args...

Когда я попробую следующее в /etc/sudoers

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws s3 cp, /usr/local/aws/bin/aws s3 cp
gbt1 ALL=(gbt-ops) NOPASSWD: AWSS3_CMD

Оболочка, к сожалению, запрашивает пароль

$ sudo -u gbt-ops aws s3 cp helloworld s3://my-bucket/hw.1
gbt-ops's password:

Если я удаляю аргументы команды в Cmnd_Alias, то она протекает по желанию (без запроса пароля), но авторизация слишком широка. Итак, как правильно ограничивать только определенные типы командных вызовов ?

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws, /usr/local/aws/bin/aws

затем

$ sudo -u gbt-ops aws s3 cp helloworld s3://my-bucket/hw.1
...happy

Большое спасибо.

Вы не использовали подстановочные знаки, но предоставили два аргумента. Поэтому sudoищет команды в точности как написано (исключая path-lookup) (from man 5 sudoers):

 If a Cmnd has associated command line arguments, then the arguments in
 the Cmnd must match exactly those given by the user on the command line
 (or match the wildcards if there are any).

Попробуйте что-то вроде:

Cmnd_Alias AWSS3_CMD = /usr/local/bin/aws s3 cp *, /usr/local/aws/bin/aws s3 cp *

Обратите внимание, что:

 Wildcards in command line arguments should be used with care.  Because
 command line arguments are matched as a single, concatenated string, a
 wildcard such as ‘?’ or ‘*’ can match multiple words. 

Таким образом, для каждой команды требуется только один подстановочный знак.

Так же, как @muru, но для тех, кто любит полный рабочий пример:

# Cmnd alias specification
Cmnd_Alias ECHO_CMD=/bin/echo A *,/bin/echo B *

# Make USER run specific commands on given HOSTNAME
# USER_NAME 

#userx
userx ALL=(root) NOPASSWD: /sbin/cmd1,/sbin/cmd2,ECHO_CMD

В то время как /sbin/cmd1, /sbin/cmd2могут быть любые другие команды.

Цель ECHO_CMDсостоит в том, чтобы представить, что sudo echo X Aбудет запрашивать парольную фразу, пока sudo echo A Xнет, и позволить вам обрести уверенность в таком простом эксперименте.

(Предполагалось, что echo сидит /bin/echo, чтобы проверить, где он находится в вашей системе попробуйте whereis echo)