SSH-Zugang für Nicht-Administratoren

Use Case:

Bisher hatte ich mein System so konfiguriert, dass ein borg backup client sich via SSH-Key einloggen kann und sich mit dem als command in der authorizedkeys-Datei eingetragenen borg serve (von borg-backup) Server verbinden kann.

Feature-Wunsch 1:

Als Administrator möchte ich einen Benutzer anlegen können, der uneingeschränkten SSH-Zugang hat, aber kein Administrator ist. Eventuell über eine weitere Gruppe "ssh-cli-user".

Feature-Wunsch 2:

Als Administrator möchte ich einschränken können, welche Benutzer überhaupt (eingeschränkten) SSH-Zugang bekommen, wenn diese kein Administrator sind. Eventuell über eine Gruppe "ssh-restricted-user".

Feature-Wunsch 3 (Optional):

Als Administrator möchte ich die Liste der Kommandos für Benutzer mit eingeschränktem SSH-Zugang anpassen können.

karl-heinz-lnx Das mit der sshd_config hat mich auch eine Idee gebracht.

Derzeit steht dort:

ForceCommand /etc/ssh/force_command.sh

Aber was ich gar nicht bedacht hatte, diese Zeile ist auch über über

Match Group ssh-cli-user
  ForceCommand /bin/true

überschreibbar. Ich hatte das force_command.sh angepasst:

if id -nG "$USER" | grep -qw -E "admin|root"; then

zu

if id -nG "$USER" | grep -qw -E "admin|root|sshuser"; then

dann mit den commands addgroup ssh-cli-user und usermod -aG ssh-cli-user backup-user für meine backup-user freigeschaltet.

Im /home/backup-user/.ssh/authorized_keys, dann natürlich in diesem Fall einen ssh-public-key mit dem command="borg-serve ..." ssh-ed25519 [PUB_KEY] eingetragen.

sudo-rechte brauche ich in diesem Fall nicht, wollte ich SSH-Zugang für bestimmte Standardbenutzer.

Mein Request bezüglich der Kommandos bezieht sich hauptsächlich auf das force_command.sh, wo die Kommandos einfach hartkodiert wurden. Ist legitim, wenn man die Sicherheit bedenkt, aber sehr unflexibel. Vor allem wenn man eventuell weitere Tools per App Center nach installiert oder wie in meinem Fall borg backup benutzen will.

Toll finde ich ja grundsätzlich, dass man rsync/scp/sftp für nicht Admins möglich machen will, aber mir wäre es lieber, wenn ich mir aussuchen dürfte, welche User Accounts das genau sind. scp und rsync sind zu wenig isoliert.

Für manche Anwendungsfälle ist es eventuell besser und auch sicherer, einen opensshd docker container zu verwenden. Allerdings muss man da wieder auf das Mapping der Berechtigungen achten. In meinem Fall wäre das durch aus eine Option. Ich kenne allerdings nicht die gesamte Produktpalette, ob das alle NAS-Varianten können.

Wenn ich so etwas allerdings für mehrere Benutzer machen möchte, ist die direkte Modifikation wohl das einfachste.