Bisakah Anda menentukan git-shell di .ssh /otorized_keys untuk membatasi akses hanya perintah git melalui ssh?

Saya ingin dapat menggunakan kunci ssh untuk otentikasi, tetapi masih membatasi perintah yang dapat dieksekusi melalui terowongan ssh.

Dengan Subversion, saya telah mencapai ini dengan menggunakan file .ssh / Authorized_key seperti:

command="/usr/local/bin/svnserve -t --tunnel-user matt -r /path/to/repository",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAABIetc...

Saya sudah mencoba ini dengan "/ usr / bin / git-shell" di perintah, tapi saya baru saja mendapatkan fatal: What do you think I am? A shell?pesan kesalahan lama yang funky .

Berikut ini berfungsi untuk saya.

Di ~/.ssh/authorized_keys:

command="./gitserve",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-dss AAAAB…

Dalam ~/gitserveskrip:

#!/bin/sh
exec git-shell -c "$SSH_ORIGINAL_COMMAND"

Perhatikan bahwa jika Anda meletakkan gitservesuatu tempat selain direktori home, Anda harus menyesuaikan command="./gitserve"parameter authorized_keys.

Saya bisa berhasil menggunakan git-shell secara langsung dalam file AuthorizedKeys tanpa menggunakan skrip tambahan.

Kuncinya adalah menambahkan \" sekitar variabel env.

Diuji dalam rhel6 openssh-server-5.3p1-70.el6.x86_64:

no-port-forwarding,no-agent-forwarding,command="git-shell -c \"$SSH_ORIGINAL_COMMAND\"" ssh-dss AAAA...

Solusi Grawity dapat dengan mudah dimodifikasi untuk bekerja dengan mengganti saluran

        exec $SSH_ORIGINAL_COMMAND

dengan garis

        git-shell -c "$SSH_ORIGINAL_COMMAND"

Kutipan mengatasi masalah yang dilaporkan di atas, dan mengganti exec dengan git-shell tampaknya sedikit lebih aman.

git-shelldirancang untuk digunakan sebagai shell login, sehingga akan menerima -c "originalcommand"sebagai argumen. Ini tidak terjadi dengan "perintah paksa" di OpenSSH; sebagai gantinya, perintah paksa diteruskan ke shell yang sudah dikonfigurasi.

Yang dapat Anda lakukan adalah menulis skrip yang memeriksa $SSH_ORIGINAL_COMMANDdan menjalankannya. Contoh dalam bash :

#!/bin/bash

SSH_ORIGINAL_COMMAND=${SSH_ORIGINAL_COMMAND/#git /git-}

case $SSH_ORIGINAL_COMMAND in
    "git-receive-pack"*|"git-upload-pack"*|"git-upload-archive"*)
        eval exec $SSH_ORIGINAL_COMMAND
        ;;
    *)
        echo "Go away." >&2
        exit 1
        ;;
esac

Saya tidak bisa mendapatkan solusi grawity untuk bekerja karena alasan yang sama seperti yang dilaporkan oleh Neil Mayhew (mis. Kutipan tunggal yang dikirim oleh klien git menyebabkan tidak valid $SSH_ORIGINAL_COMMAND- saya menggunakangit v1.7.x )

Namun, solusi berikut yang diterapkan oleh @moocode hanya berfungsi:

https://moocode.com/posts/6-code-your-own-multi-user-private-git-server-in-5-minutes

Ruby FTW! :-)

Untuk kelengkapan, dan karena pertanyaan awal tidak menentukan bahwa akun yang sama harus dapat digunakan untuk hal-hal non-git, jawaban yang jelas adalah untuk digunakan git-shellseperti yang dirancang untuk digunakan: atur sebagai shell login (yaitu dengan usermod, in /etc/passwd) untuk pengguna ssh itu.

Jika Anda memiliki satu akun pengguna yang ingin Anda gunakan dua cara:

• saat menghubungkan dengan otentikasi kunci, gunakan hanya untuk git
• saat menghubungkan dengan otentikasi kata sandi, atau menggunakan kunci pribadi yang berbeda, berikan shell lengkap

... maka jawaban lain di utas ini berlaku. Tetapi jika Anda mampu mengalokasikan pengguna terpisah untuk git, maka mengatur shell-nya git-shelladalah cara termudah untuk membatasinya, dan sedikit lebih aman karena tidak memerlukan skrip shell tambahan.