Können Sie git-shell in .ssh / authorized_keys angeben, um den Zugriff nur auf git-Befehle über ssh zu beschränken?

Ich möchte in der Lage sein, einen SSH-Schlüssel zur Authentifizierung zu verwenden, aber trotzdem die Befehle einschränken, die über den SSH-Tunnel ausgeführt werden können.

Mit Subversion habe ich dies erreicht, indem ich eine .ssh / authorized_keys-Datei wie die folgende verwendet habe:

command="/usr/local/bin/svnserve -t --tunnel-user matt -r /path/to/repository",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa AAAAB3NzaC1yc2EAAAABIetc...

Ich habe dies mit "/ usr / bin / git-shell" im Befehl versucht, aber ich bekomme nur die funky alte fatal: What do you think I am? A shell?Fehlermeldung.

Folgendes funktioniert für mich.

In ~/.ssh/authorized_keys:

command="./gitserve",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-dss AAAAB…

Im ~/gitserveDrehbuch:

#!/bin/sh
exec git-shell -c "$SSH_ORIGINAL_COMMAND"

Beachten Sie, dass Sie gitserveden command="./gitserve"Parameter in anpassen müssen , wenn Sie ein anderes Verzeichnis als das Basisverzeichnis angeben authorized_keys.

Ich konnte git-shell erfolgreich direkt in der authorizedKeys-Datei verwenden, ohne ein zusätzliches Skript zu verwenden.

Der Schlüssel ist, um die \"Umgebungsvariable hinzuzufügen .

Getestet in rhel6 openssh-server-5.3p1-70.el6.x86_64:

no-port-forwarding,no-agent-forwarding,command="git-shell -c \"$SSH_ORIGINAL_COMMAND\"" ssh-dss AAAA...

Die Lösung von Grawity kann durch Ersetzen der Leitung problemlos geändert werden

        exec $SSH_ORIGINAL_COMMAND

mit der Linie

        git-shell -c "$SSH_ORIGINAL_COMMAND"

Die Anführungszeichen kümmern sich um die oben genannten Probleme, und das Ersetzen von exec durch git-shell scheint etwas sicherer zu sein.

git-shellsoll als Login-Shell verwendet werden, so dass es -c "originalcommand"als Argumente erhalten würde . Dies ist bei "erzwungenen Befehlen" in OpenSSH nicht der Fall. Stattdessen wird der erzwungene Befehl an die konfigurierte Shell übergeben.

Sie können ein Skript schreiben, das es überprüft $SSH_ORIGINAL_COMMANDund ausführt. Beispiel in Bash :

#!/bin/bash

SSH_ORIGINAL_COMMAND=${SSH_ORIGINAL_COMMAND/#git /git-}

case $SSH_ORIGINAL_COMMAND in
    "git-receive-pack"*|"git-upload-pack"*|"git-upload-archive"*)
        eval exec $SSH_ORIGINAL_COMMAND
        ;;
    *)
        echo "Go away." >&2
        exit 1
        ;;
esac

Ich konnte die Lösung von grawity aus demselben Grund nicht zum Laufen bringen , der von Neil Mayhew gemeldet wurde (dh die einzelnen Anführungszeichen, die vom git-Client gesendet wurden und eine ungültige verursachen $SSH_ORIGINAL_COMMAND- ich verwende git v1.7.x).

Die folgende von @moocode implementierte Lösung funktioniert jedoch nur:

https://moocode.com/posts/6-code-your-own-multi-user-private-git-server-in-5-minutes

Ruby FTW! :-)

Der Vollständigkeit halber und da in der ursprünglichen Frage nicht angegeben war, dass dasselbe Konto für Nicht-Git-Dinge verwendet werden muss, ist die offensichtliche Antwort, dass git-shelles so verwendet wird, wie es entworfen wurde: Legen Sie es als Anmeldeshell fest (dh mit usermod, in /etc/passwd) für diesen SSH-Benutzer.

Wenn Sie ein einzelnes Benutzerkonto haben, das Sie auf zwei Arten verwenden möchten:

• Verwenden Sie diese Option nur für Git, wenn Sie eine Verbindung mit der Schlüsselauthentifizierung herstellen
• Wenn Sie eine Verbindung mit der Kennwortauthentifizierung herstellen oder einen anderen privaten Schlüssel verwenden, geben Sie eine vollständige Shell an

... dann gelten die anderen Antworten in diesem Thread. Wenn Sie es sich jedoch leisten können, git einen separaten Benutzer zuzuweisen, git-shellist das Festlegen der Shell die einfachste Möglichkeit, diese einzuschränken, und sie ist etwas sicherer, da keine zusätzlichen Shell-Skripte erforderlich sind.