SSHD'deki bir “Maç Grubu” ndan nasıl hariç tutulur?

14

SSHD yapılandırmasında bir Eşleşme grubu var:

cat /etc/ssh/sshd_config
...
    Match Group FOOGROUP
    ForceCommand /bin/customshell
...

Makinede "FOOGROUP" da bulunan birçok kullanıcı var.

Benim sorum: "FOOGROUP" daki belirli bir kullanıcıyı "Eşleşme Grubu" ndan nasıl hariç tutabilirim?

openssh sshd

— evachristine
kaynak

15

MatchOperatör çok esnek kurallar sağlayan, birden fazla argüman alabilir. Bu durumda, istediğinizi elde etmek için böyle bir şey yapabilirsiniz.

Match Group FOOGROUP User !username
  ForceCommand /bin/customshell

!Geçirilen gelmeyebilir Userkullanıcı yüzden bile kriter usernamegrubunda bulunan FOOGROUP, Matchbaşarılı olmayacaktır ve usernameoturum açtıktan sonra özel kabuk verilmeyecektir.

— D_Bye
kaynak

% 100 emin misiniz, bunun sadece "! Username" değil mi? Ve FOOGROUP'ta olabilecek diğer kullanıcılar dokunulmayacak mı?

— evachristine

2

Evet. Göndermeden önce test ettim ve tarif ettiğim gibi çalışıyor.

— D_Bye

1

*,!usernameDaha temiz bir yaklaşım gibi görünüyor . Oysa çözüm başarısız bir dava bu tür karıştırma Matchile ChrootDirectory(hem Openssh'ın 5.3p1 ve 7.4p1 üzerinde test).

— Ouki

4

Yapılandırma dosyası girişinizde birden çok cümle kullanmanız gerekiyor, ancak çok özel bir şekilde. Bazı kurulumlarda genel olarak önerilen ve en basit sözdiziminin ("Maç Grubu FOOGROUP Kullanıcısı! Kullanıcı adı"), gruptaki diğer herkesin Eşleşememesine neden olması veya onların kök hapishanelerinden kaçmasına izin vermesine neden olan bir hata vardır.

Debian Jessie üzerinde OpenSSH_6.0p1 kullanarak Debian-4, OpenSSL 1.0.2d Gruptaki diğer herkesin artık bağlanamayacağı sonucu alıyorum. Diğerleri hapishane molalarını bildirir. Her iki durumda da sözdizimi

Match Group FOOGROUP User *,!username

yan etkiler olmadan çalışıyor gibi görünüyor. Şüphesiz ayrıştırıcıda bir tür hata.

— Nadreck
kaynak

0

Aşağıdaki seçenek ile sftp kullanıcısını belirtilen dizine ve ayrıca ssh aracılığıyla giriş yapabilen belirtilen kullanıcıya hapse atabilirim.

Match Group groupname User *,!username

Teşekkürler.

— Logeshwaran Jeyakumar
kaynak