Ограничение OpenSSH для разрешения загрузки только в определенные каталоги

Question

Мне нужно запустить резервное копирование с нескольких серверов на одну учетную запись на другом сервере. Если один из общедоступных серверов будет взломан, я не хочу, чтобы файлы другого сервера в резервной учетной записи были взломаны.

Мне нужно только разрешить SCP доступ к определенному каталогу на основе ключа ssh входящих соединений.

Я знаю, что могу установить оболочку и несколько опций для каждого ключа в файле author_keys. http://www.manpagez.com/man/8/sshd/ (Прокрутите вниз до "AuthorizedKeysFile")

Что я не знаю, как настроить команду internal-sftp на использование только определенного каталога. У меня нет root на машине, поэтому я не могу выполнить обычные внутренние sftp + chroot.

Answer 1

Так не работает.

Что вам нужно сделать, это установить мини-тюрьму chroot для каждого резервного хоста. Он просто должен иметь возможность запускать sh и scp (/ dev требуется только запись / dev / null).

Использовать jailsh в качестве оболочки для каждой учетной записи.

Jailsh - это оболочка для входа в suid-root, которая устанавливает chroot-тюрьму в каталог, помеченный двумя последовательными слешами, удаляет root-привилегии и execs /bin/sh.