OpenVPN中的“ --up”选项通常用于路由等。因此，在OpenVPN放弃root特权以无人运行的情况下进行处理。但是，我正在调用需要以非特权用户身份运行的shell脚本。

我怎么做？我研究了Drop Process Privileges，特别是多项式和tylerl的答案，但是我不知道如何实现。我在Centos 6.5中工作，并且suid被阻止为“ chmod u + s”和“ setuid（）”。

有一个OpenVPN插件（“ openvpn-down-root.so”），该插件使“ --down”选项调用的脚本能够以root用户身份运行。可能存在等效项，例如“ openvpn-up-user.so”，但我没有找到它。

编辑0

根据Nikola Kotur的回答，我已经安装了Ian Meyer的runit-rpm。尽管chpst命令在终端中有效，但在up脚本中，它失败并显示“找不到命令”。起作用的是“ sudo chpst”以及设置适当的显示和语言。请参阅为什么我的终端无法正确输出unicode字符？鉴于此，up脚本需要以下四行：

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo chpst -u user -U user /home/user/unprivileged.sh &

编辑1

根据0xC0000022L的评论，我发现“ sudo -u用户”和“ sudo chpst -u用户-U用户”一样有效：

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo -u user /home/user/unprivileged.sh &

我将研究man sudoers并更新是否/当我独自一个人工作时更新。

我将runit的chpst工具用于此类任务。例如，从up脚本调用您的非特权脚本：

chpst -u nobody /path/to/script

只覆盖runit和sudo会导致很多错误。实际上，有诸如runit之类的一整套工具集，以及用于实现此目的的广泛工具选择，它们的设计目的是：

• Daniel J. Bernstein的daemontools具有setuidgid：

  setuidgid用户/home/user/unprivileged.sh

• 亚当·桑普森（Adam Sampson）的freedt有setuidgid：

  setuidgid用户/home/user/unprivileged.sh

• Bruce Guenter的daemontools-encore具有setuidgid：

  setuidgid用户/home/user/unprivileged.sh

• Gerrit Pape的特权有chpst：

  chpst -u用户/home/user/unprivileged.sh

• 韦恩·马歇尔（Wayne Marshall）的表演有runuid：

  runuid用户/home/user/unprivileged.sh

• 洛朗·贝科特（Laurent Bercot）的s6具有s6-setuidgid：

  s6-setuidgid用户/home/user/unprivileged.sh

• 我的鼻子有setuidgid：

  setuidgid用户/home/user/unprivileged.sh

他们不会混入添加特权的不同任务，也永远不会陷入交互模式。

您的上涨，对问题多一点你忘记有sbin，以及bin在你的PATH，顺便说一句。

进一步阅读

• 乔纳森·德·博伊纳·波拉德（2014）。不要滥用su来放弃用户特权。经常给出答案。

删除特权并运行其他脚本的脚本（但在这里我只是使其自身运行）：

#!/bin/sh

id=`id -u`
safeuser="nobody"

if [ $id = "0" ]
then
         # we're root. dangerous!
        sudo -u $safeuser $0
else
    echo "I'm not root"
    id
fi

例：

root@n3:/tmp/x# id
uid=0(root) gid=0(root) группы=0(root)
root@n3:/tmp/x# ./drop.sh
I'm not root
uid=65534(nobody) gid=65534(nogroup) группы=65534(nogroup)

关于什么：

sudo -Eu <user> <command>

您在先前的评论中抱怨了环境，因此您也可以比较输出之间的差异：

sudo -u <user> printenv
sudo -Eu <user> printenv

在Linux上，您可以使用runuser或setpriv如果不需要PAM会话（均来自util-linux）：

runuser -u USER [--] COMMAND [ARGUMENTS...]

setpriv --reuid=1000 --regid=1000 --init-groups COMMAND [ARGUMENTS...]  # Like su/runuser/sudo
setpriv --reuid=1000 --regid=1000 --clear-groups COMMAND [ARGUMENTS...]  # Like daemontools setuid(8)

从su手册页：

su主要用于非特权用户，对于特权用户（例如，由root执行的脚本），推荐的解决方案是使用不需要身份验证的非set-user-ID命令runuser（1），并提供单独的PAM配置。如果根本不需要PAM会话，那么推荐的解决方案是使用命令setpriv（1）。