Pouvez-vous spécifier git-shell dans .ssh / registered_keys pour limiter l'accès aux commandes git uniquement via ssh?

J'aimerais pouvoir utiliser une clé ssh pour l'authentification, tout en limitant les commandes pouvant être exécutées via le tunnel ssh.

Avec Subversion, j’ai atteint cet objectif en utilisant un fichier .ssh / registered_keys tel que:

command="/usr/local/bin/svnserve -t --tunnel-user matt -r /path/to/repository",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAABIetc...

J'ai essayé ceci avec "/ usr / bin / git-shell" dans la commande, mais je viens de recevoir le vieux fatal: What do you think I am? A shell?message d'erreur génial .

Ce qui suit fonctionne pour moi.

Dans ~/.ssh/authorized_keys:

command="./gitserve",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-dss AAAAB…

Dans le ~/gitservescript:

#!/bin/sh
exec git-shell -c "$SSH_ORIGINAL_COMMAND"

Notez que si vous placez un gitserveemplacement autre que le répertoire de base, vous devrez ajuster le command="./gitserve"paramètre dans authorized_keys.

Je pouvais utiliser avec succès git-shell directement dans le fichier allowedKeys sans utiliser de script supplémentaire.

La clé est d'ajouter \"autour de la variable env.

Testé dans rhel6 openssh-server-5.3p1-70.el6.x86_64:

no-port-forwarding,no-agent-forwarding,command="git-shell -c \"$SSH_ORIGINAL_COMMAND\"" ssh-dss AAAA...

La solution de Grawity peut être facilement modifiée afin de fonctionner en remplaçant la ligne.

        exec $SSH_ORIGINAL_COMMAND

avec la ligne

        git-shell -c "$SSH_ORIGINAL_COMMAND"

Les guillemets traitent des problèmes signalés ci-dessus, et le remplacement de exec par git-shell semble un peu plus sécurisé.

git-shellest conçu pour être utilisé comme un shell de connexion, afin qu'il reçoive -c "originalcommand"comme arguments. Cela ne se produit pas avec les "commandes forcées" dans OpenSSH; au lieu de cela, le commande forcée est transmise au shell configuré.

Ce que vous pouvez faire, c'est écrire un script qui le vérifie $SSH_ORIGINAL_COMMANDet l'exécute. Exemple en bash :

#!/bin/bash

SSH_ORIGINAL_COMMAND=${SSH_ORIGINAL_COMMAND/#git /git-}

case $SSH_ORIGINAL_COMMAND in
    "git-receive-pack"*|"git-upload-pack"*|"git-upload-archive"*)
        eval exec $SSH_ORIGINAL_COMMAND
        ;;
    *)
        echo "Go away." >&2
        exit 1
        ;;
esac

La solution de grawity ne fonctionnait pas pour la même raison que Neil Mayhew (c.-à-d. Les guillemets simples envoyés par le client git causant une erreur$SSH_ORIGINAL_COMMAND - j'utilise git v1.7.x)

Cependant, la solution suivante implémentée par @moocode ne fonctionne que:

https://moocode.com/posts/6-code-your-own-multi-user-private-git-server-in-5-minutes

Ruby FTW! :-)

Pour être complet, et comme la question initiale ne spécifiait pas que le même compte devait être utilisable pour des choses non git, la réponse évidente est d'utiliser git-shelltel qu'il a été conçu pour être utilisé: définissez-le comme shell de connexion (c'est-à-dire usermod, dans /etc/passwd) pour cet utilisateur ssh.

Si vous ne possédez qu'un seul compte utilisateur, vous souhaitez utiliser deux méthodes:

• lors de la connexion avec l'authentification par clé, utilisez uniquement pour git
• lors de la connexion avec une authentification par mot de passe ou en utilisant une clé privée différente, fournissez un shell complet

... alors les autres réponses de ce fil s'appliquent. Mais si vous pouvez vous permettre d’attribuer un utilisateur distinct à git, alors définir son shell en git-shellest le moyen le plus simple de le restreindre. Il est légèrement plus sécurisé car il ne nécessite aucun script supplémentaire.