Ограничение пользователей SSH на определенные права доступа

Question 1

PermitRootLogin контролирует, разрешен ли вход пользователя с именем «root» (если быть точным: любой пользователь с UID 0). Если вы регистрируетесь как root, вам не нужно sudo выполнять привилегированные задачи.

С другой стороны, если вы входите в учетную запись пользователя и используете sudo без пароля, вы должен настроить файл sudoers без необходимости возиться с /etc/ssh/sshd_config. См. Как заставить Ubuntu запомнить пароль навсегда после первого раза

Question 2

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом было бы что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC - это ИМО, более современный tool.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot в том, что вам нужно будет указать, что пользователь будет иметь и не будет иметь доступа к профилю.

Что вы сделаете, это сделать ссылку на / bin / bash, Я назову это jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash на jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

LXC

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вы отправная точка.

Question 3

Question 4

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 5

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 6

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 7

Question 8

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 9

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 10

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Question 11

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 25 May 2018 в 10:48

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом было бы что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC - это ИМО, более современный tool.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot в том, что вам нужно будет указать, что пользователь будет иметь и не будет иметь доступа к профилю.

Что вы сделаете, это сделать ссылку на / bin / bash, Я назову это jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash на jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

LXC

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вы отправная точка.

0

ответ дан Panther 25 May 2018 в 10:48

1

Учитывая, что это на сервере оболочки, мне нужно, по крайней мере, получить ограничения для программ, вы бы рекомендовали профили apparmor или LXC для сервера с оболочкой с низкими параметрами? – Thomas Ward♦ 30 May 2012 в 22:40
2

Трудно ответить на ваш вопрос без дополнительной информации о том, что вы хотите, чтобы ваши пользователи делали. В общем, Apparmor, если вашим пользователям необходимо взаимодействовать с основной системой (услуги запуска / остановки, редактировать файлы конфигурации, управлять веб-контентом, резервными копиями и т. Д.) И LXC, если им нужен только доступ к ssh / shell (sshfs, переадресация портов). – Panther 30 May 2012 в 22:57
3

доступ к ssh / shell - это все, что им нужно, но я хотел бы ограничить запуск запущенных программ python, не установленных администратором, т. е. python ./IAmAScript.py, из оболочки. – Thomas Ward♦ 30 May 2012 в 23:10
4

Моим советом было бы использовать apparmor. – Panther 30 May 2012 в 23:37

Panther · Accepted Answer · 25 July 2018 в 18:42

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 2 August 2018 в 00:51

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 4 August 2018 в 16:22

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 6 August 2018 в 01:01

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 7 August 2018 в 18:28

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 10 August 2018 в 07:09

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Panther · Accepted Answer · 15 August 2018 в 19:08

Ну, если вы хотите ограничить пользователя / home, ssh на самом деле не является правильным инструментом. Например, / bin / bash не находится в / home. Лучшим инструментом будет что-то вроде NFS, sshfs, ftp и т. Д. (Мы могли бы обсудить, какой из них использовать).

Вы могли бы построить chroot в / home, но LXC , IMO, лучший более современный инструмент.

Другим вариантом будет написать профиль apparmor. Это будет несколько похоже на chroot, поскольку вам нужно будет указать, к чему будет обращаться пользователь и не будет иметь доступа к нему в профиле.

Что бы вы сделали, это сделать ссылку на / bin / bash, Я назову его jailbash

sudo ln /bin/bash /usr/local/jailbash

Затем вы меняете учетную запись пользователей из bash в jailbash

sudo chsh <user>

Теперь напишите профиль apparmor для jailbash:

Вот пример:

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Это написано для Ubuntu 10.04, и вам нужно будет просмотреть обновление, но оно дает вам отправную точку.

Учитывая, что это на сервере оболочки, мне нужно, по крайней мере, получить ограничения для программ, вы бы рекомендовали профили apparmor или LXC для сервера с оболочкой с низкими параметрами? — Thomas Ward♦, 30 May 2012 в 22:40
Трудно ответить на ваш вопрос без дополнительной информации о том, что вы хотите, чтобы ваши пользователи делали. В общем, Apparmor, если вашим пользователям необходимо взаимодействовать с основной системой (услуги запуска / остановки, редактировать файлы конфигурации, управлять веб-контентом, резервными копиями и т. Д.) И LXC, если им нужен только доступ к ssh / shell (sshfs, переадресация портов). — Panther, 30 May 2012 в 22:57
Моим советом было бы использовать apparmor. — Panther, 30 May 2012 в 23:37

Ограничение пользователей SSH на определенные права доступа

8 ответов

Другие вопросы по тегам:

Похожие вопросы: