Bạn có thể chỉ định git-shell trong .ssh / ủy quyền để hạn chế quyền truy cập chỉ các lệnh git qua ssh không?

Tôi muốn có thể sử dụng khóa ssh để xác thực, nhưng vẫn hạn chế các lệnh có thể được thực thi trên đường hầm ssh.

Với Subversion, tôi đã đạt được điều này bằng cách sử dụng tệp .ssh / ủy quyền như sau:

command="/usr/local/bin/svnserve -t --tunnel-user matt -r /path/to/repository",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAABIetc...

Tôi đã thử điều này với "/ usr / bin / git-shell" trong lệnh, nhưng tôi nhận được fatal: What do you think I am? A shell?thông báo lỗi cũ .

Các công việc sau đây cho tôi.

Trong ~/.ssh/authorized_keys:

command="./gitserve",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-dss AAAAB…

Trong ~/gitservekịch bản:

#!/bin/sh
exec git-shell -c "$SSH_ORIGINAL_COMMAND"

Lưu ý rằng nếu bạn đặt gitservemột nơi khác ngoài thư mục chính, bạn sẽ phải điều chỉnh command="./gitserve"tham số trong authorized_keys.

Tôi có thể sử dụng thành công git-shell trực tiếp trong tệp ủy quyền mà không cần sử dụng tập lệnh bổ sung.

Điều quan trọng là thêm \"xung quanh biến env.

Đã thử nghiệm trong rrc6 openssh-server-5.3p1-70.el6.x86_64:

no-port-forwarding,no-agent-forwarding,command="git-shell -c \"$SSH_ORIGINAL_COMMAND\"" ssh-dss AAAA...

Giải pháp của Grawity có thể dễ dàng được sửa đổi để hoạt động bằng cách thay thế dòng

        exec $SSH_ORIGINAL_COMMAND

với dòng

        git-shell -c "$SSH_ORIGINAL_COMMAND"

Các trích dẫn quan tâm đến các vấn đề được báo cáo ở trên và thay thế exec bằng git-shell có vẻ an toàn hơn một chút.

git-shellđược thiết kế để được sử dụng như một vỏ đăng nhập, để nó sẽ nhận -c "originalcommand"làm đối số. Điều này không xảy ra với "các lệnh bắt buộc" trong OpenSSH; thay vào đó, lệnh bắt buộc được truyền cho shell được cấu hình.

Những gì bạn có thể làm là viết một kịch bản kiểm tra $SSH_ORIGINAL_COMMANDvà thực thi nó. Ví dụ trong bash :

#!/bin/bash

SSH_ORIGINAL_COMMAND=${SSH_ORIGINAL_COMMAND/#git /git-}

case $SSH_ORIGINAL_COMMAND in
    "git-receive-pack"*|"git-upload-pack"*|"git-upload-archive"*)
        eval exec $SSH_ORIGINAL_COMMAND
        ;;
    *)
        echo "Go away." >&2
        exit 1
        ;;
esac

Tôi không thể làm cho giải pháp của grawity hoạt động với cùng lý do đã được báo cáo bởi Neil Mayhew (tức là các trích dẫn duy nhất được gửi bởi khách hàng git gây ra không hợp lệ $SSH_ORIGINAL_COMMAND- Tôi đang sử dụng git v1.7.x)

Tuy nhiên, giải pháp sau đây được thực hiện bởi @moocode chỉ hoạt động:

https://moocode.com/posts/6-code-your-own-multi-user-private-git-server-in-5-minutes

Ruby FTW! :-)

Để đầy đủ và vì câu hỏi ban đầu không xác định rằng cùng một tài khoản phải có thể sử dụng được cho những thứ không phải là git, nên câu trả lời rõ ràng là sử dụng git-shellvì nó được thiết kế để sử dụng: đặt nó làm vỏ đăng nhập (nghĩa là với usermod, trong /etc/passwd) cho người dùng ssh đó.

Nếu bạn có một tài khoản người dùng mà bạn muốn sử dụng hai cách:

• khi kết nối với xác thực khóa, chỉ sử dụng cho git
• khi kết nối với xác thực mật khẩu hoặc sử dụng khóa riêng khác, hãy cung cấp toàn bộ vỏ

... Sau đó, các câu trả lời khác trong chủ đề này được áp dụng. Nhưng nếu bạn có đủ khả năng để phân bổ một người dùng riêng cho git, thì đặt shell của nó git-shelllà cách đơn giản nhất để hạn chế nó, và an toàn hơn một chút vì nó không yêu cầu các kịch bản shell bổ sung.