คุณสามารถระบุ git-shell ใน. ssh / authorized_keys เพื่อ จำกัด การเข้าถึงคำสั่ง git ผ่าน ssh ได้หรือไม่?

ฉันต้องการที่จะสามารถใช้คีย์ ssh สำหรับการตรวจสอบ แต่ยังคง จำกัด คำสั่งที่สามารถดำเนินการผ่านอุโมงค์ ssh

ด้วยการโค่นล้มฉันทำได้โดยใช้ไฟล์. ssh / authorized_keys เช่น:

command="/usr/local/bin/svnserve -t --tunnel-user matt -r /path/to/repository",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAABIetc...

ฉันได้ลองทำสิ่งนี้ด้วย "/ usr / bin / git-shell" ในคำสั่ง แต่ฉันเพิ่งได้รับfatal: What do you think I am? A shell?ข้อความแสดงข้อผิดพลาดเก่า ๆ ที่ขี้ขลาด

งานต่อไปนี้สำหรับฉัน

ใน~/.ssh/authorized_keys:

command="./gitserve",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-dss AAAAB…

ใน~/gitserveสคริปต์:

#!/bin/sh
exec git-shell -c "$SSH_ORIGINAL_COMMAND"

โปรดทราบว่าถ้าคุณใส่gitserveที่อื่นนอกเหนือจากไดเรกทอรีบ้านคุณจะมีการปรับพารามิเตอร์ในcommand="./gitserve"authorized_keys

ฉันสามารถใช้ git-shell ได้โดยตรงในไฟล์ authorizedKeys โดยตรงโดยไม่ต้องใช้สคริปต์เพิ่มเติม

กุญแจสำคัญคือการเพิ่ม\"รอบตัวแปร env

ทดสอบใน rhel6 openssh-server-5.3p1-70.el6.x86_64:

no-port-forwarding,no-agent-forwarding,command="git-shell -c \"$SSH_ORIGINAL_COMMAND\"" ssh-dss AAAA...

วิธีแก้ปัญหาของGrawityสามารถแก้ไขได้อย่างง่ายดายเพื่อให้ทำงานได้โดยเปลี่ยนสาย

        exec $SSH_ORIGINAL_COMMAND

กับสาย

        git-shell -c "$SSH_ORIGINAL_COMMAND"

เครื่องหมายคำพูดจะดูแลปัญหาที่รายงานข้างต้นและการแทนที่ exec ด้วย git-shell ดูเหมือนจะปลอดภัยกว่าเล็กน้อย

git-shellถูกออกแบบมาเพื่อใช้เป็นเปลือกเข้าสู่ระบบเพื่อที่จะได้รับ-c "originalcommand"เป็นข้อโต้แย้ง สิ่งนี้จะไม่เกิดขึ้นกับ "คำสั่งบังคับ" ใน OpenSSH; แต่คำสั่งบังคับจะถูกส่งผ่านไปยังเชลล์ที่ตั้งค่าไว้

สิ่งที่คุณสามารถทำได้คือเขียนสคริปต์ที่ตรวจสอบ$SSH_ORIGINAL_COMMANDและดำเนินการ ตัวอย่างในทุบตี :

#!/bin/bash

SSH_ORIGINAL_COMMAND=${SSH_ORIGINAL_COMMAND/#git /git-}

case $SSH_ORIGINAL_COMMAND in
    "git-receive-pack"*|"git-upload-pack"*|"git-upload-archive"*)
        eval exec $SSH_ORIGINAL_COMMAND
        ;;
    *)
        echo "Go away." >&2
        exit 1
        ;;
esac

ฉันไม่สามารถแก้ปัญหาgrawityเพื่อทำงานด้วยเหตุผลเดียวกันกับที่รายงานโดยNeil Mayhew (เช่น. คำพูดเดียวที่ส่งโดยลูกค้า git ทำให้ไม่ถูกต้อง$SSH_ORIGINAL_COMMAND- ฉันกำลังใช้git v1.7.x)

อย่างไรก็ตามโซลูชันต่อไปนี้ที่ใช้งานโดย@moocode ใช้งานได้:

https://moocode.com/posts/6-code-your-own-multi-user-private-git-server-in-5-minutes

ทับทิม FTW! :-)

เพื่อความสมบูรณ์และตั้งแต่คำถามเดิมไม่ได้ระบุว่าบัญชีเดียวกันจะต้องสามารถใช้ได้สำหรับสิ่งที่ไม่ใช่คอมไพล์คำตอบที่ชัดเจนคือการใช้git-shellเป็นมันถูกออกแบบมาเพื่อใช้: ตั้งเป็นเปลือกเข้าสู่ระบบ (เช่นมีusermod, ใน/etc/passwd) สำหรับผู้ใช้ ssh นั้น

หากคุณมีบัญชีผู้ใช้เดียวที่คุณต้องการใช้สองวิธี:

• เมื่อเชื่อมต่อกับการรับรองความถูกต้องของคีย์ให้ใช้สำหรับ git เท่านั้น
• เมื่อเชื่อมต่อกับการตรวจสอบรหัสผ่านหรือใช้กุญแจส่วนตัวที่แตกต่างกันให้เปลือกเต็ม

... ดังนั้นคำตอบอื่น ๆ ในหัวข้อนี้จึงถูกนำมาใช้ แต่ถ้าคุณสามารถจัดสรรผู้ใช้แยกเป็น git ได้การตั้งค่า shell ให้git-shellเป็นวิธีที่ง่ายที่สุดในการ จำกัด มันและมีความปลอดภัยมากกว่าเล็กน้อยเนื่องจากไม่ต้องใช้เชลล์สคริปต์เพิ่มเติม