Restringir o OpenSSH para permitir uploads apenas a determinados diretórios

Question

Eu preciso para executar backups de vários servidores para uma única conta em outro servidor. Se um dos servidores públicos está comprometida, não quero arquivos do outro servidor na conta de backup comprometido.

O que eu preciso fazer é apenas permitir SCP para um diretório específico, com base na chave ssh das conexões de entrada.

Eu sei que eu posso definir o shell, e várias opções em uma base por chave no arquivo authorized_keys. http://www.manpagez.com/man/8/sshd/ ( Desça até "AuthorizedKeysFile")

O que eu não sei como definir o comando-sftp interno para usar apenas um determinado diretório. Eu não tenho raiz na máquina, então eu não posso fazer o normal, interna-sftp + chroot.

Answer 1

Não é assim que funciona.

O que você precisa fazer é criar um mini jaula para cada host backup. Ela só precisa de ser capaz de executar sh e scp (/ dev só precisa / dev / null entrada).

Use jailsh como o shell de login para cada conta.

Jailsh é um shell de login suid-raiz que prisão conjuntos chroot para o diretório marcado por duas barras consecutivas, gotas privs raiz, e executivos / bin / sh.