Sudo como usuario diferente y pantalla de ejecución

¡Descubrí hoy que correr la pantalla como un usuario diferente en el que sudo no funcionará!

es decir

ssh bob@server         # ssh into server as bob
sudo su "monitor" -
screen                 # fails: Cannot open your terminal '/dev/pts/0'

Tengo un script que se ejecuta como el usuario "monitor". Lo ejecutamos en una sesión de pantalla para ver el resultado en la pantalla. El problema es que tenemos un número de usuarios que inician sesión con su propia cuenta (es decir, bob, james, susie, etc.) y luego ingresan al usuario "monitor". Darles acceso al usuario "monitor" está fuera de discusión.

Intente correr script /dev/nullcomo el usuario que sudesea antes de iniciar la pantalla: es un pequeño truco de ghetto, pero debería alegrar la pantalla.

Estoy usando una función de contenedor screenpara los usuarios que debo usar sudo su. Esta es la función de contenedor que he agregado a los usuarios ~/.bashrc:

pantalla de función () {
  / usr / bin / script -q -c "/ usr / bin / screen $ {*}" / dev / null
}

Esto me permite usar todas las opciones y parámetros para los screenque me gustaría usar. Estoy pensando en poner esta función en todo el sistema.

Suponiendo que de todos modos están SSHing en el host, puede agregar las claves ssh públicas para cada usuario que necesite acceso a la cuenta del monitor en el archivo ~ monitor / .ssh / Authorizedkeys. Luego, en la máquina remota de cada usuario, pueden ejecutar

ssh -t [email protected] screen -RD

Suponiendo que estemos hablando de este error:

$ sudo su - bob
$ screen
Cannot open your terminal '/dev/pts/5' - please check.

Aquí hay una frase (podría usarse como "alias gobob", por ejemplo):

sudo su - bob -c "script -c bash /dev/null"'

Explicación:

Esto iniciará un shell (como el shell de inicio de sesión) como usuario bob. Se inicia el usuario bob script, que le dice que invoque un bash (podría ser guión o ksh ...) y se tira una copia de la sesión.

Probablemente tendría que cambiar los permisos en el dispositivo en cuestión o agregar un monitor a un grupo que tenga permiso para leer ese dispositivo, esa sería mi primera inclinación. Pero tendría que sopesar las implicaciones de seguridad de hacerlo.

Dices que lo haces:

sudo su "monitor" -

Me pregunto sobre el guión final. Yo suelo hacer:

sudo su - username

El guión (según la página de manual de su) le dice a su que "convierta el shell en un shell de inicio de sesión". Esto significa que obtendrá todos los scripts de inicio de shell habituales y establecerá cosas como PATH y HOME correctamente.

Acabo de golpear este problema. Lo resolvió chmod +rw $(tty)antes de ejecutar sudo. El problema con esta solución es que cualquiera puede conectarse y espiar en su terminal después de eso.