Befehl aus einem Skript als anderer Benutzer ausführen: sudo -u, runuser, su -c und -Credential in PowerShell

Ziel

In einem Skript einen bestimmten Befehl unter einem anderen Konto ausführen und dabei das passende Werkzeug wählen, abhängig davon, ob ein Passwort vorliegt, ob eine Login-Umgebung gewünscht ist und ob das Ziel lokal oder remote liegt.

Voraussetzungen

Unter Linux: sudoers-Einträge oder Gruppenmitgliedschaft, die die benötigten Rechte gewähren. Unter Windows: ein Credential, das der aufrufende Kontext ohne Benutzerinteraktion verwenden darf.

Schritte

1. sudo -u <user> <command> führt <command> gemäss sudoers-Richtlinie als <user> aus und verwendet dabei die Anmeldedaten des Aufrufers, nicht die des Zielkontos. runuser(1) und su(1) werden in ihren Manpages gleichlautend beschrieben ("run a command with substitute user and group ID"), unterscheiden sich aber: su fragt nach dem eigenen Passwort des Zielkontos (keine Abfrage, wenn der Aufrufer root ist), während runuser nur als root funktioniert und nie nach einem Passwort fragt.
2. sudo -i startet die Login-Shell des Zielbenutzers, wie in sudo(8) beschrieben; die Shell liest die Profildateien dieses Kontos und startet in dessen Home-Verzeichnis. Ein einfaches sudo -u user command startet keine Login-Shell, übergibt mit dem Standardwert env_reset aber dennoch nur eine minimale Umgebung. Wo sudoers secure_path setzt (bei den meisten Distributionen), wird PATH ersetzt; Befehle daher mit absolutem Pfad aufrufen.
3. sudo -E (--preserve-env) bittet die Sicherheitsrichtlinie, die vorhandenen Umgebungsvariablen des Aufrufers durchzulassen, statt sie zurückzusetzen; sudo(8) beschreibt dies als Möglichkeit, dass der Benutzer "preserve their existing environment". sudo lehnt die Option ab, wenn die Richtlinie sie nicht erlaubt; secure_path überschreibt PATH weiterhin, und gefährliche Variablen wie LD_PRELOAD werden immer entfernt. Besser --preserve-env=VAR1,VAR2 verwenden und mit sudo -E env | grep <VAR> prüfen.
4. runuser -u appuser -- /opt/app/bin/migrate.sh --flag führt den Befehl direkt ohne Shell aus. su -c 'command' appuser (und runuser -l appuser -c ...) übergibt dagegen eine einzelne Zeichenkette an die Shell des Zielkontos. Sie ist daher als ein einziges, in Anführungszeichen gesetztes Argument zu übergeben; nicht vertrauenswürdige Daten dürfen nie eingebaut werden. Für Dienstkonten, deren Shell nologin ist, -s /bin/sh ergänzen.
5. Unter Windows das Credential-Objekt ohne Passwort auf der Kommandozeile erzeugen: interaktiv mit $cred = Get-Credential, für unbeaufsichtigten Betrieb als PSCredential aus einem Secret Store (Get-Secret oder eine DPAPI-geschützte Datei, gelesen mit ConvertTo-SecureString), niemals als Klartext-Zeichenkette im Skript. Anschliessend startet Start-Process -FilePath ... -Credential $cred -Wait den Prozess unter diesem Benutzerkonto. Der Aufruf lässt sich nicht mit -Verb RunAs kombinieren (getrennte Parametersätze), erhöht die Rechte also nicht, und innerhalb einer WinRM-Remotingsitzung schlägt er häufig mit "Zugriff verweigert" fehl; dort stattdessen Invoke-Command -Credential verwenden.
6. Für die Remote-Ausführung authentifiziert New-PSSession -ComputerName <host> -Credential $cred (oder Invoke-Command -ComputerName ... -Credential $cred) die Remotesitzung als dieses Konto.
7. Nach dem Wechsel die tatsächliche Identität prüfen (id unter Linux; whoami oder $env:USERNAME im neuen PowerShell-Kontext), statt anzunehmen, der Aufruf zur Rechteerhöhung sei stillschweigend erfolgreich gewesen.

Erwartetes Ergebnis

Der vorgesehene Befehl läuft unter der Identität und in der Umgebung des vorgesehenen Kontos. Das Log des aufrufenden Skripts zeigt, unter welchem Konto jeder Schritt lief, und kein Klartextpasswort taucht in Prozesslisten, Shell-Verläufen oder Logs auf.

Grenzen und Prüfbasis

Das Verhalten von sudo (ob -E berücksichtigt wird, ob überhaupt ein Passwort verlangt wird) wird vollständig von der lokalen sudoers-Richtlinie bestimmt, nicht allein von den Optionen. Get-Credential ist per Konzept interaktiv; unbeaufsichtigte Skripte benötigen einen vorab eingerichteten Secret Store.