Dotaz: Autentifikacia ssh klucom a write pristup pre skupinu.

[Cronin]

Potrebujem nastavit autentifikaciu ssh klucmi bez passphrase, aby bolo mozne vzdialene kopirovat subory prostrednictvom scp zo skriptu bez zasahu pouzivatela. Vygenerovat kluce a umiestnit ich je samozrejme trivialne, to sa tu preberalo neraz.

Problem je vsak v tom, ze cielove konto, t.j. konto, na ktore sa maju subory kopirovat, musi mat nastavene pristupove prava 77x, t.j. zapis aj pre skupinu. Autentifikacia klucmi vsak pre takto nastavene konto zlyha, co je crta ssh[d]. Da sa toto obmedzenie nejako obist?

Odpovědi

[wake]

...mit pristupova prava 77?... kam ?

[Cronin]

Domovsky adresar cieloveho konta ma pristupove prava 775. Ssh kontroluje pristupove prava prava adresarov a suborov:

~
~/.ssh

Zapis pre skupinu musi byt povoleny prave pre ~, a to sa ssh nepaci.

[wake]

a proc tento jeden konkretni adresar nechmodnout na 755 ?

[Cronin]

Pretoze tento adresar musi mat prava 775. A dokonca musi mat nastaveny SGID, ale to je vedlajsie. Neviem, ci som to nenapisal dost jasne, ale otazka znela, ci mozno a ak ano, tak ako, obist vlastnost ssh, aby nakontrolovalo pristupove prava domovskeho adresa. Chcel som odpoved "ano, da sa to takto: ..." alebo "nie, neda sa to". Prosim vsetkych, co budu mat nutkanie davat mi alternativne riesenia, aby od tohto umyslu upustili.

[wake]

error #68716: read all the answers before complaining. problem-solving is an iterative process.

[wake]

omlouvam se, nepochopil. obejit to pujde asi jedine rekompilaci ssh.

ale skupinovy zapis do ~ znamena, ze kdokoliv ze skupiny muze smazat .ssh, potazmo jej mvnout a nalit tam svuj. opravdu potrebujete skupinovy zapis do celeho ~ ? nestacil by treba jen do vybranych podadresaru ?

[Ritchie]

Ono to má svou logiku – aby nikdo kromě uživatele nemohl měnit (podvrhnout) soubory v ~/.ssh. Jako workaround se nabízí nepoužívat přímo domovský adresář, ale nějaký podadresář

[wake]

platis mi pivo

[wake]

jeste me napada - zalozte specialni konto pro ssh, pridejte ho do skuppiny - a voila - mate (skupinovy) zapis do vyse zminovaneho konta ;)