Re: [gentoo-user-es] evitar que usuario acceda a shell, permitirle cvs

[Xavi Rubio]

Hay una solución bastante segura, que es meter el cvs en un chroot. De
esta forma aunque puedan entrar por ssh no tendrán acceso a nada
importante. 
Hay otra solución que quizá es exactamente lo que buscas, y es crear un
shell propio (es bastante fácil) que tan sólo permita los comandos de cvs.
Después se habilita ese shell en lugar del /bin/bash y ya está.

Saludos

Xavi

----------------------------------------
 
/"\ The ASCII         Xavier Rubio <xrubio at iua dot upf dot es>
\ / Ribbon Campaign   GnuPG public key ID: D0D8020D (pgp.mit.edu)
 X  Against HTML Email & Microsoft Attachments!
/ \




On Sun, 18 Apr 2004 23:01:21 +0200
Pau Capdevila <cappujpa@×××××.es> wrote:

> Un poco guarrada si que es...
> Yo esto lo hacia poniendoles como shell en el fichero /etc/passwd
> /bin/nologin en OpenBSD. Habrá algo parecido en Linux...
> Para realizar operaciones con SSH tenía que pasar una opción a la linea
> de comandos para que no intentara abrir shell.
> Si necesitáis más concreción preguntad...
>
> Alberto Garcia Hierro wrote:
>
> >-----BEGIN PGP SIGNED MESSAGE-----
> >Hash: SHA1
> >
> >
> >
> >	Es una guarrada, pero quizas funcione. Has probado a meterles un
> >	logout en el
> >~/.bashrc?
> >
> >
> >El Domingo 18 Abril 2004 22:07, d2clon@×××××××××××××××.org escribió:
> >
> >
> >>gracias krs:
> >>
> >>pero creo que debo pemitir el acceso via ssh a estos usuarios.. o si
> >no no>podrán descargarse el cvs..
> >>
> >>he probado lo que me dices.. y, en efecto, no se les permite el acceso
> >ssh>a los usuarios que defina en DenyUsers ... pero a la vez tambien se
> >les>impide el acceso al cvs.. por que el cvs usa conexion ssh :(
> >>
> >>estoy llegando a la conclusión que el acceso ssh y el acceso a consola
> >son>imprescindibles para uso del cvs.. lo cual es una putada
> >>
> >>por que si doy de alta un usuario en el cvs.. indibidiblemente tiene
> >acceso>a la consola.. joer joer
> >>
> >>gracias por lo de DenyUser de todos modos.. mola.. me servirá para
> >otras>cosass
> >>
> >>saludos
> >>d2clon
> >>
> >>On Sunday 18 April 2004 19:59, krs wrote:
> >>
> >>
> >>>-----BEGIN PGP SIGNED MESSAGE-----
> >>>Hash: SHA1
> >>>
> >>>Prueba con añadir a tu fichero /etc/ssh/sshd_config una linea que
> >ponga>>DenyUsers y la lista de usuarios que no quieres que accedan por
> >ssh>>separados por espacios, supongo que eso servirá.
> >>>
> >>>- -
> >>>     DenyUsers
> >>>             This keyword can be followed by a list of user name
> >>>patterns, separated by spaces.  Login is disallowed for user names
> >that>>match one of the patterns.  `*' and `?' can be used as wildcards
> >in the>>patterns.  Only user names are valid; a numerical user ID is
> >not>>recognized.  By default, login is allowed for all users.  If the
> >pattern>>takes the form USER@HOST then USER and HOST are separately
> >checked,>>restricting logins to particular users from particular hosts.
> >>>- -
> >>>Sacado de man sshd_config :)
> >>>
> >>>Saludos
> >>>
> >>>El Sábado, 17 de Abril de 2004 19:29, d2clon@×××××××××××××××.org
> >escribió:>>
> >>>
> >>>>nada gente..
> >>>>he hecho lo que me comentais
> >>>>le he definido como shell -> /bin/false
> >>>>y he creado la entrada en /etc/shells
> >>>>
> >>>>y en efecto no consigue acceder a la shell
> >>>>=======================================0
> >>>>trucha@biit tmp $ ssh -lotoanonimo susana
> >>>>otoanonimo@susana's password:
> >>>>Last login: Mon Jan 17 17:48:34 2005 from 10.0.0.5
> >>>>Connection to susana closed.
> >>>>=======================================0
> >>>>
> >>>>pero .. :
> >>>>=======================================0
> >>>>trucha@biit tmp $ export CVSROOT="otoanonimo@susana:/home/cvs/rep"
> >>>>trucha@biit tmp $ cvs co oto
> >>>>otoanonimo@susana's password:
> >>>>cvs [checkout aborted]: end of file from server (consult above
> >messages>>>if any)
> >>>>=======================================0
> >>>>
> >>>>ya veis.. no consigue conectarse para checkout el módulo
> >>>>pone que consulte noseque mensajes.. pero no se a que log se refiere
> >>>>me he fijado que en el servidor no hay ningun log del cvs :/
> >>>>
> >>>>d2clon
> >>>>
> >>>>On Saturday 17 April 2004 17:33, Alberto Garcia Hierro wrote:
> >>>>
> >>>>
> >>>>>-----BEGIN PGP SIGNED MESSAGE-----
> >>>>>Hash: SHA1
> >>>>>
> >>>>>El Sábado 17 Abril 2004 16:39, Alberto F. Capel escribió:
> >>>>>
> >>>>>
> >>>>>>podrías ponerles de shell /bin/false en /etc/passwd.
> >>>>>>
> >>>>>>Espero que funcione.
> >>>>>>
> >>>>>>
> >>>>> y añadir /bin/false en /etc/shells
> >>>>>
> >>>>>- --
> >>>>>/* Alberto García Hierro (Skyhusker) */
> >>>>>-----BEGIN PGP SIGNATURE-----
> >>>>>Version: GnuPG v1.2.4 (GNU/Linux)
> >>>>>
> >>>>>iD8DBQFAgU5S4O6JklHkL2cRAi0hAJ9gspJkwPBN/lGFul2ocUb+cneMRwCgigSf
> >>>>>2NOWruxPNuIHbcf7YKBjZd4=
> >>>>>=XrG4
> >>>>>-----END PGP SIGNATURE-----
> >>>>>
> >>>>>
> >>>>--
> >>>>gentoo-user-es@g.o mailing list
> >>>>
> >>>>
> >>>- --
> >>>####################################
> >>># http://logicmind.org             #
> >>># Usuario Linux registrado #303351 #
> >>># Clave publica PGP disponible en: #
> >>># http://krs.logicmind.org/krs.asc #
> >>>####################################
> >>>-----BEGIN PGP SIGNATURE-----
> >>>Version: GnuPG v1.2.4 (GNU/Linux)
> >>>
> >>>iD8DBQFAgsHukXEYdwsx9VURAhFJAJ9rMT46vZcMoEb+Li0RsicBMzIIFACeP0VD
> >>>uqr6LrmnVf1jhnpmBn0w/6Y=
> >>>=X3Oe
> >>>-----END PGP SIGNATURE-----
> >>>
> >>>
> >>--
> >>gentoo-user-es@g.o mailing list
> >>
> >>
> >
> >- --
> >/* Alberto García Hierro (Skyhusker) */
> >-----BEGIN PGP SIGNATURE-----
> >Version: GnuPG v1.2.4 (GNU/Linux)
> >
> >iD8DBQFAguPr4O6JklHkL2cRAhnGAJ49/F6L+jdrgeTGyDulQdySd3mxkwCfedXi
> >43r7CVFTxMyJV+I2jQ+ThnU=
> >=/jdm
> >-----END PGP SIGNATURE-----
> >
> >--
> >gentoo-user-es@g.o mailing list
> >
> >
> >
> >
> >
>
>
> --
> gentoo-user-es@g.o mailing list
>
>
>