linux ユーザー コマンドを制限する方法 (rbash, AuthorizedKeysFile)

サーバーを構築するときに
セキュリティを意識しろ。とよく言われますが
具体的に何すればいいのか。

rootを廃止、sshポートの変更、アクセスできるユーザーの制限などなど
挙げればキリがないです。
たとえsshを突破されたとしても実行できるコマンドが制限されてたらまだセーフだよね!
例えばlsだけとか(笑)

今回は、sshした際にユーザーが実行できるコマンドを制限する方法を書き溜めます。

概要

使用コマンドを制限する際に、よく使われる方法は2種類あります。

  • rbashを使う
  • AuthorizedKeysFileを使う

広告

rbashを使う

最初にぱっと思いつくのはrbashのほうかな?
結構細かい粒度で使用コマンドを設定できるので
ログインした後に複数操作をするユーザーはrbashのほうがいいね。
サーバー監視とかする人は、ssh後いろいろ操作することがあるけど
ルート権限いらない場合あるよね。
そういう人にはrbashで実行できるコマンドを
ls, cd, cat, grep, top, vmstatとかに制限するとか。

ビルトインコマンドが使える等、閉じるべきところを注意してね。
これはまた時間が空いたときに書き溜めます。

rbashを設定する

rbashの設定は

  • 初期設定
  • ユーザー追加設定

の2段階に別れます。



まず初期設定です。
これはサーバー構築の際には、最初の一回だけ行います。
やることはrbashのシンボリックリンクを設定するだけ。
よく/opt/binが基本かな?


これだけ。
この/opt/bin下にユーザーのホームを作っていきます。

次にユーザー追加設定をします。
これは各ユーザーごとに設定する感じです。

  • ログインシェルを指定してユーザー作製
  • 許可するコマンドを設定する
  • .bash_profileを書き換えてPATHを切り替える

以上です。
簡単だね〜。
新規ユーザーを作るたびに同じことをやるだけです。

AuthorizedKeysFileを使う

rbash以外にもコマンドを制限する方法はあります。
それはAuthorizedKeysFileを使う方法です。

前回は、AuthorizedKeysFileにIPアドレスを記述することで
アクセス元のIP制限をする方法を書き溜めました。

ssh アクセス元の IP を指定してログインを制限する

AuthorizedKeysFileはすごく便利でできることはまだあります。

ssh時にコマンドを制限する場合、AuthorizedKeysFileを修正します。
AuthorizedKeysFileとは、公開鍵認証でsshログインする際に使用するファイルです。
実体は公開鍵のリストファイルです。

公開鍵とその鍵を使用した際の挙動を設定するファイルです。

デフォルトでは~/.ssh/authorized_keys を使用します。
パスが「~/」なので各ユーザーごとに設定するものです。

例えば下記のように公開鍵を記述することで、
対応する秘密鍵でsshログインできるようになります。

このAuthorizedKeyFileを修正して実行コマンドに制限をかけてみましょう。

commandを記述

command=を記述することで公開鍵を使用した認証時に
使用するコマンドを制限できます。

Specifies that the command is executed whenever this key is used for authentication.

~/.ssh/authorized_keysで公開鍵の先頭にcommandを記述します。
lsコマンドのみ許可する場合、command="ls ~/"と書きます。


これだけ。簡単!
もっとしっかり知りたいよ。って人はここを見てね。



linux サーバーって面白いよね。
じゃあね〜〜〜〜。