Dotaz: Spustit vzdáleně skript bez autorizace a možnosti přihlášení

[Vojtěch]

Zdravím všechny!

Mám prosbu. Lze na dvou linuxových serverech nastavit možnost, aby uživatel z jednoho serveru mohl spustit příkaz či skript na druhém serveru tak, aby mu současně bylo znemožněno se na druhý server přihlašovat? Tedy jde o to, aby ten dotyčný uživatel spustil na vzdáleném serveru určitý skript, který vrátí nějaký výsledek. A s tím výsledkem může dále pracovat. Současně je nutné, aby se dotyčný uživatel na druhý sever nemohl přihlásit (nalogovat) či přepnout pomocí ssh. Nyní to mám nastavené tak, že login tohoto uživatele je založen na obou serverech, je přenesen rsa klíč a tedy může spouštět zmíněný skript. ALe současně se může na druhý server i nalogovat, což je nežádoucí.

Děkuji za rady a pomoc.

Odpovědi

[NN]

Nestacilo by odstranit login shell(ie. /sbin/nologin)?

[mhepp]

Po chvilce hledání na internetu:

http://stackoverflow.com/questions/402615/how-to-restrict-ssh-users-to-a-predefined-set-of-commands-after-login

[rastos]

Ak ten skript, ktorý spustíš na vzdialenom stroji spustí program, ktorý otvorí sieťové spojenie a začne na ňom počúvať a vykonávať príkazy, ktoré cez to sieťové spojenie dostane ... tak je to v háji. Takže podstatné je, aké príkazy ten vzdialený stroj dovolí spustiť. Prvé, čo mi google na túto tému našiel bolo toto.

[Vojtěch]

Děkuji za odpovědi, ale zatím mi to nějak moc nepomohlo.

[dustin]

A když dáš ten tvůj skript místo login shellu do /etc/passwd? To je celkem běžný postup, zmiňovaný i v těch linkách.

[pavel]

Normálně vytvoříš přihlášení pomocí klíčů bez hesla a na straně serveru bude v klíči něco takového:

command="/tvuj/prikaz",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty, ssh-rsa xxxxxxxxxxxxxxxxx

[mhepp]

Toto prý nepomohlo...

[pavlix]

Těm, co to úspěšně používají, to jistě pomohlo ;).

[Jendа]

Tak to má blbý, když nedokáže poslat logy, výstup ssh -vvv a tak…

[Chulda]

a můžete rozvést, proč to nepomohlo?

Pokud je potřeba předávat různé parametry, tak při volání z klienta se zadávají přes parametr -c příkazu SSH s vynecháním toho jména skriptu. A taky se u skriptu musí dát pozor na to, že se nenačtou všechny proměnné prostředí.

[pepe_]

A co na tom pc to vzít na webserver kterej třeba skrz php nebo django provede script a vrátí výsledek ?

[Kriegel]

pepe_ by to vzal pres webserver, ja bych to prohnal skrz mailserver. Urcite uz tam nejaky bezi...

[Vojtěch]

Zdravím,

omlouvám se za opožděnou odpověď způsobenou mojí nepřítomností. Nakonec mi Vaše rady pomohly. Hned na počátku souboru authorized_keys jsem doplnil syntaxi s příkazem command="/home/skripty/..." ... Současně je nutné mít v /etc/passwd u dotyčného uživatele povolený bash. Problém může nastat, když budu chtít povolit více různých příkazů, či využití scp. Děkuji

[MMichal]

Ad různé příkazy: Proměnná "SSH_ORIGINAL_COMMAND" bude obsahovat příkaz volaný klientem. Přes toto můžete vyřešit různé příkazy patřičným rozdělením ve skriptu.

Michal

[Filip Jirsák]

Takový problém se velice snadno vyřeší použitím více klíčů.

[Šangala]

Osobně bych použil Match + ForceCommand v sshd_conf.