Oracle Linux 7.9 Kerberos域下实现foo账户无密码以bar账户Kerberos凭证执行指定命令的合理方案咨询

你提到的wrapper脚本+sudo的方案确实存在不小的安全隐患——比如如果foo能接触到bar的keytab，理论上就能用这个凭证做任何事，完全违背了「只允许执行特定命令」的限制。下面给你两个更安全、贴合Kerberos最佳实践的解决方案：

方案一：受限sudo规则 + Kerberos认证sudo #

这个方案不需要暴露bar的keytab，而是利用Kerberos本身完成sudo的身份验证，同时严格锁定foo能执行的命令范围：

1. 配置sudo支持Kerberos认证
   编辑/etc/sudo.conf，确保添加Kerberos插件配置：

   Plugin sudoers_policy sudoers.so
   Plugin sudoers_audit sudoers.so
   Plugin krb5 sudo_krb5.so
   

   你的Kerberos域应该已经配置好/etc/krb5.conf的基础参数（默认域、KDC地址等），确保这些内容正确即可。

2. 添加严格的sudoers规则
   使用visudo编辑/etc/sudoers.d/foo-bar-command（单独配置文件比直接修改sudoers更安全），添加：

   foo ALL=(bar) NOPASSWD: /usr/bin/your-specific-command --fixed-arguments
   

   这里要注意几个关键点：

   • 必须指定命令的完整绝对路径，防止foo通过篡改PATH执行恶意命令
   • 最好绑定固定参数，避免foo通过修改参数启动交互式shell（比如如果命令是rsync，就要明确写死源、目标路径，不能留空参数）
   • 如果目标命令本身存在shell逃逸风险（比如python、perl），一定要锁定执行的脚本路径，比如写/usr/bin/python3 /path/to/allowed-script.py，而不是只写/usr/bin/python3

3. Kerberos凭证的正确传递
   默认sudo会保留用户的Kerberos凭证缓存，如果需要使用bar的专属凭证，可以在sudoers规则里添加SETENV: KRBS5CCNAME，让命令能访问bar的凭证缓存；或者在目标命令里通过sudo -u bar kinit -k -t /etc/krb5.keytab.bar bar@YOUR_REALM获取凭证——但要确保这个keytab权限设为0600、属主为root，只有sudo能访问，foo无法直接读取。

方案二：k5start无交互凭证获取 + 受限sudo #

k5start是专门管理Kerberos凭证的工具，可以安全地从keytab获取凭证，同时避免普通用户接触到keytab文件：

1. 安装k5start
   在Oracle Linux 7.9上，先启用EPEL仓库再安装：

   sudo yum install epel-release
   sudo yum install k5start
   

2. 创建bar的专用keytab
   使用ktutil生成仅包含bar账号的keytab，保存到/etc/krb5.keytab.bar，设置严格权限：

   ktutil
   add_entry -password -p bar@YOUR_REALM -k 1 -e aes256-cts-hmac-sha1-96
   # 输入bar的Kerberos密码
   wkt /etc/krb5.keytab.bar
   exit
   sudo chmod 0600 /etc/krb5.keytab.bar
   sudo chown root:root /etc/krb5.keytab.bar
   

3. 编写受限执行脚本
   创建脚本/usr/local/bin/run-as-bar-command，内容如下：

   #!/bin/bash
   # 严格限制参数，防止篡改
   if [ "$1" != "--allowed-arg" ]; then
       echo "Invalid arguments"
       exit 1
   fi
   # 用k5start获取bar的凭证，然后执行目标命令
   k5start -f /etc/krb5.keytab.bar -U bar@YOUR_REALM -- /usr/bin/your-specific-command "$1"
   

   给脚本设置权限：

   sudo chmod 0700 /usr/local/bin/run-as-bar-command
   sudo chown root:root /usr/local/bin/run-as-bar-command
   

4. 添加sudoers规则
   用visudo添加规则：

   foo ALL=(root) NOPASSWD: /usr/local/bin/run-as-bar-command --allowed-arg
   

   这样foo只能通过sudo执行这个脚本，脚本内部严格限制了参数，且k5start会以bar身份获取凭证，foo完全接触不到keytab文件。

关键安全注意事项 #

• 永远不要给foo直接访问bar的keytab的权限，keytab必须只有root可读
• 所有sudo规则都要用visudo编辑，避免语法错误导致sudo失效
• 尽可能缩小命令和参数的范围，防止foo通过参数逃逸到交互式shell
• 定期审计sudo日志（/var/log/secure），检查foo的执行记录

备注：内容来源于stack exchange，提问作者Peter G. Horvath