Adicionando um usuário que só pode executar scripts remotamente

Gostaria de criar um usuário que possa fazer apenas uma coisa: via ssh, especifique um script (e argumentos de linha de comando para o script) que reside em uma pasta específica (para os fins desta pergunta, vamos chamá-lo /local/remote_only_scripts/foo) e fazer com que o script seja executado e retornar sua saída.

Para esclarecer alguns exemplos de coisas que não quero que o usuário possa fazer:

• Faça login localmente na conta. O aplicativo de login é /bin/login. Não é um script na /local/remote_only_scripts/foopasta, portanto, não deve ser chamado pelo usuário.
• Faça login remotamente na conta. Novamente, o login (é o que é chamado pelo ssh?) Não é um script na pasta relevante.
• Listar o conteúdo do diretório. Está dentro /bin/ls. Não é um script no diretório apropriado.
• Edite um arquivo nesse diretório. O emacs, vi, gedit, a maioria dos outros editores não são scripts nesse diretório.
• Veja o conteúdo de um arquivo nesse diretório.
• Execute um arquivo nesse diretório que ele não tem permissão para executar.

Observe que estes são exemplos. Existem muitas outras ações que eu não quero que o usuário possa executar. Ao considerar uma ação, pergunte "isso está sendo feito por um script /local/remote_only_scripts/foo?" se a resposta for negativa, o usuário não poderá fazê-lo. Se a resposta for sim, o usuário deve ser capaz de fazê-lo.

PS: Deixe-me esclarecer o que quero dizer com "adicionando um usuário". Não quero adicionar um usuário a algum subsistema ssh. Em vez disso, quero dizer adicionar um usuário ao sistema do computador. Então, por exemplo, eu tenho um sistema executando o debian stable, chame-o pelo seu endereço, www.hg.bar.com. Eu quero adicionar um usuário (via kuser, users-admin ou useradd ou alguma maneira similar) chamá-lo de hg_guest. O hg_guest não pode fazer login localmente ou executar qualquer uma das ações da lista acima. Tudo o que o hg_guest pode fazer é executar scripts "remotamente". Eu disse que ele deveria ser capaz de fazê-lo via ssh, mas pensando nisso agora, talvez permitir que ele use o ssh pode permitir que ele efetue login localmente, portanto, pode ser necessário outro mecanismo.

Há uma opção de comando no arquivo allowed_keys. Esta opção parece fazer exatamente o que você deseja.

Observe que não é um chroot ou um shell restrito. Está permitindo executar apenas esses comandos via ssh. Com o seu exemplo, seria:

ssh somehost /local/remote_only_scripts/foo

Para este arquivo allowed_keys:

command="/local/remote_only_scripts/foo",no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ...public key... 

Há muitas maneiras, se você não quiser que seu usuário possa fazer login localmente. Você também pode :

• basta definir seu shell como / bin / false (talvez você precise de / bin / true, pois o ssh precisa de um login válido)
• bloqueie sua senha, consulte passwd -l

EDIT : adicionadas mais opções de restrição e esclarecemos como você remove o acesso local.

Tente isso como o shell de logon para o usuário:

#!/bin/sh
basedir=/local/remote_only_scripts
while read -p '$ ' prog args; do
    if [ ! -x "$basedir/$prog" ]; then
        echo "Invalid program: $prog"
    else
        case "$prog $args" in
            *\**|*\?*|*\^*|*\&*|*\<*|*\>*|*\|*|*\;*|*\`*|*\[*|*\]*)
                echo "Invalid character in command";;
            *)
                eval "$prog $args"
                echo;; # force a trailing newline after the program
        esac
    fi
done

Você provavelmente também desejará incluir isso no authorized_keysarquivo explicitamente, como na resposta de Coren; mas substitua o '... / foo; com o programa aqui. Isso vai impedir que os comandos do SSH como sftp, scp, e ssh hostname command.

Na hipótese de eles precisarem acessar apenas um script, isso funciona muito bem para mim. Adicione o usuário e altere seu shell padrão para o caminho do script. Quando eles se conectam via ssh, ele executa o script e fecha a sessão.

server1:/ # useradd -s "/local/remote_only_scripts/foo/script.sh" hg_guest

server1:/ # grep hg_guest /etc/passwd

hg_guest: x: 2002: 100 :: / home / hg_guest: /local/remote_only_scripts/foo/script.sh