В чём проблема с юзерами?

Question

[Temp-User_0000]

Нужно, чтоб пользователь НЕ мог подняться выше домашней папки и чтоб он имел доступ ТОЛЬКО к определённым командам. И если совторым нет проблем (.bashrc в помощь), то с первым всё плохо! В случае включения ChrootDirectory в sshd_config scp и bash (впрочем как и sh) перестают работать. Я использовал две инструкции (1, 2), но не одна из них не помогла. Постоянно выдаёт

ошибку:

administrator@DESKTOP-VLF5FL3:/scripts$ ssh op@0.0.0.0
op@0.0.0.0's password:
/bin/bash: No such file or directory
Connection to 0.0.0.0 closed.
administrator@DESKTOP-VLF5FL3:/scripts$

Как исправить ошибку, решить все проблемы и запустить SSH соединение?! Подскажите, пожалуйста!

Comments

[Довольный Айтишникъ]

Это уже третий вопрос на одну и туже тему, не устали регистрироваться?
Как ограничить файловый доступ ssh?
Подсистема Linux для Linux?

[Temp-User_0000]

Довольный Жизнью,

Это уже третий вопрос на одну и туже тему, не устали регистрироваться?

ну дайте пожалуйста нормальный ответ и грамотное решение, умоляю.

[Довольный Айтишникъ]

Temp-User_0000, вы бы для начала хоть один текст ошибки приложили, чтоб не гадать что и почему не получается.

[CityCat4]

Довольный Жизнью, Даня - он такой, молодой и упрямый :) И клепает себе алиасы ваще без устали.

Answer 1

[CityCat4]

А самое очевидное решение в голову не приходило? Скопировать нужные команды (и их файлы сопровождения) в ~/bin? Или еще куда-нибудь внутри домашки юзера?

Comments

[Temp-User_0000]

CityCat4,

А самое очевидное решение в голову не приходило? Скопировать нужные команды (и их файлы сопровождения) в ~/bin? Или еще куда-нибудь внутри домашки юзера?

Это самое первое решение, которое пришло в голову! Но оно не работает и поэтому я сюда и пишу. Если бы всё работало, то и вопросов бы не было.

[CityCat4]

Temp-User_0000, А почему не работает? Либ не хватает? Ну закройте правами каталоги с общими бинарниками, а каталоги с либами оставьте, из путей /bin, /usr/bin уберите...

[Karpion]

Temp-User_0000, Мне интересно, понимаете ли Вы, что именно происходит при chroot? Ведь если ограничить юзера его каталогом - то он теряет доступ не только к данным остальных юзеров, но и к исполняемым файлам, библиотекам, конфигам (в /etc и много где ещё). Т.е. для запуска shell и команд из него - надо дать доступ ко всем нужным программам и ко всему, что им нужно; т.е. надо скопировать это к нему в каталог или использовать хитрые методы типа UnionFS.

Answer 2

[Karpion]

А зачем надо "чтоб пользователь НЕ мог подняться выше домашней папки"? Обычно это делается правами доступа - пусть лазает где хочет, его не пустят куда нельзя и не дадут изменить то что положено только читать.

Какие команды там надо выполнять? Тут тоже есть разные варианты решения - например, многие шеллы это делают.

Comments

[Георг Гаал]

А потом кто-то случайно назначил неверные права и пользователь получил возможность смотреть куда ему не надо. "Запесочить" пользователя иногда действительно имеет смысл. Например, в особых продуктивных средах.

[Temp-User_0000]

Георг Гаал,

Например, в особых продуктивных средах.

У меня и есть такая среда.
Мне надо предоставить доступ к консоли и файлам виртуального сервера, БЕЗ доступа к консоли и файлам Линукса!

[Георг Гаал]

Тогда заходите не с того конца. Есть же прекрасные штуки вроде guacamole (если нужен доступ к виртуалке), а для инженеров мы вообще разработали скрипт на python, который не позволял им управлять "не своими" виртуальными машинами (хотя пол капотом были все те же стандартные вызовы libvirt). Но это только если сами строите свой виртуальный хостинг с нуля. Да и то тогда все равно правильно начать с каких-либо готовых решений вроде opennebula

[Karpion]

Георг Гаал, Против "кто-то случайно сделал что-то не то" - мало что помогает. Особенно если "делать это" д.б. в полномочиях этого человека.

[Георг Гаал]

Эм, ну, соглашусь. Только как это соотносится с темой вопроса?

[Karpion]

Георг Гаал, Я полагаю, что топиккастеру надо смотреть в сторону назначения прав доступа. Настраивать chroot ему оказалось сложно. Возможно, ему надо настраивать контейнеры, виртуалки или типа того.