Linux: User soll nur einen Ordner per SSH einsehen können

[Jalian Ass (Gast)]

Hallo,

Ich versuche gerade, einen kleinen Embedded Rechner möglichst 
"anwenderfreundlich" im Sinne von "unkaputtbar" einzurichten.
Es wird eine Datenerfassung, die vor allem von Studenten im Labor 
genutzt werden soll.

Ziel ist, dass ein Nutzer sich per SSH bzw. SFTP einloggen kann, eine 
Parameterdatei ändern und später seine Messergebnisse auf dem gleichen 
weg herunterkopieren kann.

Da es immer wieder "Experten" in den Praktika gibt, möchte ich sicher 
ausschließen, dass diese Spezies irgendeinen anderen Zugriff auf diesen 
Rechner bekommt. Also nicht auf andere Home-Verzeichnisse und schon 
garnicht auf sämtliche Systemdateien.

Sein $HOME lesend und schreibend, und sonst nichts sehen, nichts können, 
nicht dürfen.

Unter Debian Linux hatte ich mir das eigentlich ziemlich einfach 
vorgestellt.
Zu meinem großen Erstaunen musste ich nun aber feststellen, dass es da 
kaum einen schnellen Weg zu Ziel gibt?!
Es gibt viele Seiten/ Threads zum Thema, jedoch habe ich noch keine 
schöne Lösung finden können. Zumeist bleibt zumindest eine Lesezugriff 
auf die Systemdateien bestehe, was ich ebenfalls gerne blocken würde.

Hat vielleicht schonmal jemand ein ähnliches Problem erfolgreich lösen 
können?

Wäre für eure Hilfe sehr dankbar!

Julian

[Dirk D. (dicky_d)]

Jalian Ass schrieb:

> Unter Debian Linux hatte ich mir das eigentlich ziemlich einfach
> vorgestellt.
> Zu meinem großen Erstaunen musste ich nun aber feststellen, dass es da
> kaum einen schnellen Weg zu Ziel gibt?!

Du hast wahrscheinlich nicht mit den passenden keywords gesucht :)
https://www.linode.com/docs/tools-reference/tools/limiting-access-with-sftp-jails-on-debian-and-ubuntu
das macht, wenn ich dich richtig verstanden habe, genau das was du 
willst, oder?

[TestX (Gast)]

keywords wären:

chroot, jails

wenn das nicht ausreicht musst du dich evtl mit AppArmor oder SElinux 
befassen

[(prx) A. K. (prx)]

https://wiki.archlinux.org/index.php/SFTP-chroot

Ich geh über die Gruppe und in gemeinsames Wurzelverzeichnis. Der Rest 
geht dann über die Einzelverzeichnisse der User darin, also Rechte 
rwx------ für diese.

/etc/sshd_config:

AllowGroups sftp
Subsystem sftp internal-sftp -l VERBOSE

Match Group sftp
        ChrootDirectory /srv/sftp
        ForceCommand internal-sftp -l VERBOSE -u 63
        #dezimal 63 = oktal 77

/etc/rsyslog.conf:

# Create an additional socket for some of the sshd chrooted users.
$AddUnixListenSocket /srv/sftp/dev/log

# Log internal-sftp in a separate file
:programname, isequal, "internal-sftp" -/var/log/sftp.log
:programname, isequal, "internal-sftp" ~

drwxr-x--x 11 root      root 4096 Jan 21 08:44 /srv/sftp
drwxr-xr-x  2 root      root 4096 Mar 23 16:54 /srv/sftp/dev/
drwx------  2 sftp-test sftp 4096 Sep 19  2012 /srv/sftp/test

[Noch einer (Gast)]

>per SSH bzw. SFTP einloggen

Sollen nur Dateien übertragen werden, oder soll der Benutzer sich mit 
einem Ssh-Client anmelden und auf dem Embedded Rechner eine Shell und 
einen Editor bekommen?

[Julian Ass (Gast)]

Hm, es reicht, wenn Dateien lokal bearbeitet und dann hochgelegen werden 
können. Notepad++ mit Nppftp plug in ist da sehr komfortabel.

[Patrick (Gast)]

Jalian Ass schrieb:
> Ziel ist, dass ein Nutzer sich per SSH bzw. SFTP einloggen kann, eine
> Parameterdatei ändern und später seine Messergebnisse auf dem gleichen
> weg herunterkopieren kann.

...

> Sein $HOME lesend und schreibend, und sonst nichts sehen, nichts können,
> nicht dürfen.

Das widerspricht sich. Wenn er ausser $HOME lesen und schreiben nichts 
darf, kann er auch keine Datei ändern oder kopieren. Denn dafür bräuchte 
er Ausführrechte für die entsprechenden Programme.

Ansonsten nimm ihm einfach alle Rechte für alles, was er nicht darf. Was 
ist daran so schwer?