使用Ubuntu服务器,我需要创build一些具有以下限制的用户帐户:
(1)用户只能查看和操作其主目录中的文件。
(2)用户只能执行与rsync和sftp相关的命令。
我希望用户能够使用rsync备份文件,我希望他们能够使用sftp客户端(如FileZilla)来检索文件。
除此之外,我不希望用户能够查看系统上的其他文件,或者执行任何可能与系统混淆的命令。
我更像一个Ubuntu桌面用户,并且在pipe理Linux服务器方面的经验很less。 我发现的大多数教程假设我知道我不知道的事情。 所以我很难设置。
用户所做的一切都需要访问大部分的文件系统。 为了certificate这一点,运行以下命令:
strace -e trace=file /bin/ls/$HOME
您将看到列出您自己的主目录的内容需要打开并读取至less40个散布在系统中的其他文件。 其他命令,如sftp等,需要更广泛的访问。
Unix系统是围绕大多数操作系统只读访问的用户的概念而devise的。 仔细的权限和组,你可以很容易地禁止他们看到对方的目录的内容。 使用pam_apparmor,您将能够限制他们可以运行的应用程序。
编辑:我只是重新读你的要求。 听起来你不需要他们能够login到完全交互式的shell。 如果是这种情况,有两种方法可以继续:
aptitude install scponly
。 然后将用户的shell设置为“scponly”。 不要让它的名字充满你; 它也适用于sftp。 如果你想更多地locking它们,请查看/usr/local/share/doc/scponly
有关设置每个用户“chroot”的/usr/local/share/doc/scponly
。 如果你需要允许访问更多的命令,而不仅仅是sftp / scp(比如rsync),那么你需要滚动你自己的命令validation器,并设置一个SSH“强制命令”。 将如下所示的块添加到/etc/ssh/sshd_config
:
Match group sftponly ForceCommand /usr/local/bin/validate_sftp
然后编写/usr/local/bin/validate_sftp
脚本。 类似的东西:
#!/bin/bash if [[ $SSH_ORIGINAL_COMMAND = "rsync --server" ]] then exec $SSH_ORIGINAL_COMMAND elif [[ $SSH_ORIGINAL_COMMAND = "/usr/lib/openssh/sftp-server" ]] then exec $SSH_ORIGINAL_COMMAND else echo "You are only allowed rsync or sftp access to this server." fi
将用户添加到“sftponly”组中(当然,您必须添加该组),并且它们将被限制为脚本允许的命令。
我不知道,如果这可以满足你的要求,但既然你说,这应该是一个服务器机器,可能是值得考虑从另一方面解决问题:
…只是一个想法,因为在为用户提供系统帐户时,总是存在一定的安全风险(并且需要pipe理用户和文件权限) – 至less只要您不为每个人设置虚拟服务器。