sudoで動かすシェルスクリプトの権限設計｜root判定と自己再実行・sudoersで特定スクリプトだけ許可する方法

この記事のポイント

・$EUIDが0かどうかでroot実行かを一行で判定できる
・sudo自己再実行はreadlink -fで絶対パスを取得する形が安全
・sudoersは絶対パス・root所有・引数ワイルドカード禁止が鉄則
・sudo後のPATHはsecure_pathになるのでスクリプト内で明示設定する

# bash専用: $EUIDを直接参照できる（#!/bin/bashのスクリプト向け）
if [ "$EUID" -ne 0 ]; then
  echo "このスクリプトはroot権限で実行してください" >&2
  exit 1
fi

# POSIX sh互換にする場合はid -uを使う（#!/bin/sh でも動作する）
if [ "$(id -u)" -ne 0 ]; then
  echo "このスクリプトはroot権限で実行してください" >&2
  exit 1
fi

#!/bin/bash
set -euo pipefail

if [ "$EUID" -ne 0 ]; then
  echo "エラー: root権限が必要です。sudo で実行してください。" >&2
  echo "使い方: sudo $0" >&2
  exit 1
fi

# --- root権限が確認できた後の処理 ---
echo "バックアップを開始します..."

#!/bin/bash
set -euo pipefail

if [ "$EUID" -ne 0 ]; then
  echo "root権限が必要なため sudo で再実行します..."
  exec sudo -- "$(readlink -f -- "$0")" "$@"
  # execが成功した場合、以降の行は実行されない
fi

# ここに到達するのはroot権限がある場合のみ
echo "root権限で実行中 (EUID=$EUID)"

#!/bin/bash
# このスクリプト自体はroot権限不要
set -euo pipefail

LOGDIR="/var/log/myapp"
BACKUP_DIR="/backup/myapp"
DATE=$(date +%Y%m%d)

echo "ログを収集します..."
# rootが所有するログファイルのコピーだけsudoを使う
sudo cp "${LOGDIR}/app.log" "${BACKUP_DIR}/app-${DATE}.log"
sudo chown "$USER":"$USER" "${BACKUP_DIR}/app-${DATE}.log"

echo "圧縮します..."
# 圧縮は一般ユーザーで可能
gzip "${BACKUP_DIR}/app-${DATE}.log"
echo "完了: ${BACKUP_DIR}/app-${DATE}.log.gz"

# /usr/local/sbin/backup-log-helper.sh
# （root所有・sudoersに登録するスクリプト。root権限が必要な処理のみ記述）
#!/bin/bash
set -euo pipefail
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export PATH

LOGDIR="/var/log/myapp"
BACKUP_DIR="/backup/myapp"
DATE=$(date +%Y%m%d)

cp "${LOGDIR}/app.log" "${BACKUP_DIR}/app-${DATE}.log"
chown operator:operator "${BACKUP_DIR}/app-${DATE}.log"

# /home/operator/run-backup.sh
# （一般ユーザーが実行するスクリプト。root権限不要）
#!/bin/bash
set -euo pipefail

echo "前処理（一般権限）..."
# ... 前処理 ...

echo "ログをバックアップ中（sudo）..."
sudo /usr/local/sbin/backup-log-helper.sh

echo "後処理（一般権限）..."
# ... 後処理 ...

# スクリプトをroot所有の場所にコピー
sudo cp backup-log-helper.sh /usr/local/sbin/backup-log-helper.sh

# 所有者をroot:rootに設定
sudo chown root:root /usr/local/sbin/backup-log-helper.sh

# 権限を755に設定（root以外は読み込み・実行のみ、書き込みは不可）
sudo chmod 755 /usr/local/sbin/backup-log-helper.sh

# 親ディレクトリの確認（一般ユーザーに書き込み権限がないこと）
ls -ld /usr/local/sbin/
# 出力例（環境により異なります）
# drwxr-xr-x. 2 root root 4096 Oct 20 10:00 /usr/local/sbin/

# /etc/sudoers.d/backup-operator を新規作成する場合
sudo visudo -f /etc/sudoers.d/backup-operator

# /etc/sudoers.d/backup-operator
# operatorユーザーが指定スクリプトをパスワードなしでroot実行できる
operator ALL=(root) NOPASSWD: /usr/local/sbin/backup-log-helper.sh

# backupopsグループのメンバー全員に許可する場合
%backupops ALL=(root) NOPASSWD: /usr/local/sbin/backup-log-helper.sh

# 危険な例1: 利用者のホームディレクトリにあるスクリプト（書き換え可能）
# operator ALL=(root) NOPASSWD: /home/operator/scripts/backup.sh  ← NG

# 危険な例2: 利用者が書き込めるファイルをsourceするスクリプト（内部）
source /home/operator/config.sh   # ← operatorが任意のコードを注入できる

# 危険な例3: 引数を無検証でコマンドに渡す（内部）
DEST="$1"
cp /var/log/app.log "$DEST"   # ← 悪意ある引数で任意パスへコピーできる

# /etc/sudoers のデフォルト設定（代表的な設定を抜粋）
Defaults    env_reset
Defaults    secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

#!/bin/bash
# sudo実行時でも必要なコマンドが見つかるようにPATHを明示設定する
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export PATH

# secure_path外にあるコマンドはフルパスで指定する
# 例: /opt/company/bin/myapp ならそのまま絶対パスで呼ぶ
/opt/company/bin/myapp --config /etc/myapp/config.conf

# 推奨しない書き方
sudo -E ./script.sh              # ← 一般ユーザーの環境をすべて引き継ぐ
sudo --preserve-env ./script.sh  # ← 同上

# sudoersに SETENV を書くのも同様に推奨しない
# operator ALL=(root) NOPASSWD,SETENV: /usr/local/sbin/backup.sh

# コマンドの実際の場所を確認する
which aws
# 出力例（環境により異なります）
# /usr/local/bin/aws

# sudo実行時のPATHを確認する
sudo bash -c 'echo $PATH'
# 出力例（環境により異なります）
# /usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

# /usr/local/bin はsecure_pathに含まれているため上記の場合は問題なし
# /opt/xyz/bin など含まれていなければスクリプト内でPATHに追加またはフルパスで指定

# 実際に呼ばれているパス（シンボリックリンク解決後）を確認する
readlink -f /usr/local/sbin/backup-log-helper.sh
# 出力例（環境により異なります）
# /usr/local/sbin/backup-log-helper.sh

# sudoersに書かれているパスと一致しているか確認する
sudo grep backup-log-helper /etc/sudoers /etc/sudoers.d/*