-
Notifications
You must be signed in to change notification settings - Fork 4
Expand file tree
/
Copy pathsetting-up-server.asc
More file actions
149 lines (121 loc) · 6.16 KB
/
Copy pathsetting-up-server.asc
File metadata and controls
149 lines (121 loc) · 6.16 KB
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
[[_setting_up_server]]
=== Nastavitev strežnika
Pojdimo skozi nastavitve dostopa SSH na strežniški strani.
V tem primeru boste za overjanje vaših uporabnikov uporabili metodo `authorized_keys`.
Predpostavimo tudi, da poganjate standardno distribucijo Linuxa, kot je Ubuntu.
[NOTE]
====
Večino tega, kar je tu opisano, se lahko avtomatizira z uporabo ukaza `ssh-copy-id`, namesto ročnega kopiranja in namestitve javnih ključev.
====
Najprej ustvarite uporabnika `git` in direktorij `.ssh` za tega uporabnika.
[source,console]
----
$ sudo adduser git
$ su git
$ cd
$ mkdir .ssh && chmod 700 .ssh
$ touch .ssh/authorized_keys && chmod 600 .ssh/authorized_keys
----
Naslednje morate za uporabnika `git` dodati nekaj razvijalskih javnih ključev SSH v datoteko `authorized_keys`.
Predpostavimo, da imate nekaj zaupljivih javnih ključev, ki ste jih shranili v začasne datoteke.
Javni ključi so videti nekako takole:
[source,console]
----
$ cat /tmp/id_rsa.john.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4L
ojG6rs6hPB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4k
Yjh6541NYsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9Ez
Sdfd8AcCIicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myiv
O7TCUSBdLQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPq
dAv8JggJICUvax2T9va5 gsg-keypair
----
Samo pripnete jih k datoteki `authorized_keys` uporabnika `git` v njegovem direktoriju `.ssh`:
[source,console]
----
$ cat /tmp/id_rsa.john.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.josie.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.jessica.pub >> ~/.ssh/authorized_keys
----
Sedaj lahko zanje nastavite prazen repozitorij s pogonom `git init` z možnostjo `--bare`, ki inicializira repozitorij brez delovnega direktorija:(((Ukazi Git, init, bare)))
[source,console]
----
$ cd /srv/git
$ mkdir project.git
$ cd project.git
$ git init --bare
Initialized empty Git repository in /srv/git/project.git/
----
Nato lahko John, Josie, ali Jessica potisnejo prvo različico njihovega projekta v ta repozitorij, da ga dodajo kot daljavo in potisnejo vejo.
Opomniti velja, da se mora nekdo prijaviti preko lupine v napravo in ustvariti goli repozitorij vsakič, ko želite dodati projekt.
Uporabimo `gitserver` kot ime gostitelja strežnika, na katerem ste nastavili vašega uporabnika `git` in repozitorij.
Če ga poganjate interno in ste za `gitserver` nastavili DNS, da kaže na ta strežnik, potem lahko uporabite ukaze, kakršni so sami po sebi (ob predpostavki, da je `myproject` obstoječi projekt z datotekami v njem):
[source,console]
----
# on John's computer
$ cd myproject
$ git init
$ git add .
$ git commit -m 'Initial commit'
$ git remote add origin git@gitserver:/srv/git/project.git
$ git push origin master
----
Na tej točki lahko drugi klonirajo in potiskajo spremembe nazaj prav tako enostavno:
[source,console]
----
$ git clone git@gitserver:/srv/git/project.git
$ cd project
$ vim README
$ git commit -am 'Fix for README file'
$ git push origin master
----
S to metodo lahko za mnoge razvijalce hitro dobite bralno/pisalni strežnik Git v pogonu.
Opomniti je treba, da se trenutno lahko vsi ti uporabniki tudi prijavijo v strežnik in dobijo lupino kot uporabnik `git`.
Če želite to omejiti, boste morali spremeniti lupino na nekaj drugega v datoteki `/etc/passwd`.
Enostavno lahko omejite uporabnika `git`, da dela samo dejavnosti povezane z Gitom z omejenim orodjem lupine imenovanim `git-shell`, ki prihaja z Gitom.
Če ste to nastavili kot prijavno lupino uporabnika `git`, potem uporabnik `git` ne more imeti običajnega dostopa lupine na vaš strežnik.
Da to uporabite, določite `git-shell` namesto `bash` ali `csh` za prijavno lupino tega uporabnika.
Da to naredite, morate najprej dodati polno pot do `git-shell` v `/etc/shells`, če še ni tam:
[source,console]
----
$ cat /etc/shells # see if git-shell is already in there. If not...
$ which git-shell # make sure git-shell is installed on your system.
$ sudo -e /etc/shells # and add the path to git-shell from last command
----
Sedaj lahko urejate lupino za uporabnika z uporabo `chsh <username> -s <shell>`:
[source,console]
----
$ sudo chsh git -s $(which git-shell)
----
Sedaj lahko uporabnik `git` uporablja samo povezave SSH, da potisne in povleče repozitorije Git, ne more se pa prijaviti preko lupine v napravo.
Če poskusite, boste videli naslednjo zavrnitev prijave:
[source,console]
----
$ ssh git@gitserver
fatal: Interactive git shell is not enabled.
hint: ~/git-shell-commands should exist and have read and execute access.
Connection to gitserver closed.
----
Na tej točki bodo uporabniki še vedno lahko uporabljali posredovanje vrat SSH (angl. _SSH port forwarding_), da dostopajo do kateregakoli gostitelja, ki ga strežnik Git lahko doseže.
Če želite to preprečiti, lahko uredite datoteko `authorized_keys` in dodate predpone sledečim možnostim za vsak ključ, ki ga želite omejiti:
[source,console]
----
no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty
----
Rezultat bi moral biti videti nekako takole:
[source,console]
----
$ cat ~/.ssh/authorized_keys
no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4LojG6rs6h
PB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4kYjh6541N
YsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9EzSdfd8AcC
IicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myivO7TCUSBd
LQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPqdAv8JggJ
ICUvax2T9va5 gsg-keypair
no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQDEwENNMomTboYI+LJieaAY16qiXiH3wuvENhBG...
----
Sedaj bodo omrežni ukazi Git še vedno delovali popolnoma v redu, vendar uporabniki ne bodo dobili lupine.
Kot navaja izpis, lahko nastavite tudi direktorij v domačem direktoriju uporabnika `git`, ki malenkost prilagaja ukaz `git-shell`.
Na primer, omejite lahko ukaze Git, ki jih bo strežnik sprejemal, lahko pa tudi prilagodite sporočilo, ki ga uporabniki vidijo, če se poskusijo tako prijaviti preko SSH.
Poženite `git help shell` za več informacij o prilagoditvi lupine.(((Ukazi Git, help)))