Newsgroup: it.comp.os.linux.sys
Titolo: ssh: disabilitare login e abilitare esecuzione remota

ciao,
ho bisogno di permettere agli utenti di eseguire comandi remoti tramite
ssh, ma gli stessi utenti non dovrebbero fare login.
prima, quando usavo rsh+rexec+rlogin potevo controllare questa cosa
tramite pam e access.conf, ma con ssh non è possibile,
ciao
matteo

 tramite pam e access.conf, ma con ssh non è possibile,
Infatti. IMHO, devi usare un qualcosa come rssh, o scponly.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
char *p="char *p=%c%s%c;main(){printf(p,34,p,34);}";main(){printf(p,34,p,34);}

 ssh, ma gli stessi utenti non dovrebbero fare login.
Non capisco la differenza fra avere una login e poter eseguire comandi
remoti.  Cosa fai una volta loggato? Esegui comandi...
ouz che pensa che gli stia sfuggendo qualcosa...
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 ouz che pensa che gli stia sfuggendo qualcosa...
La parola chiave e` "restrizioni". :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
For every complex problem, there is an answer that is short, simple and wrong.

 La parola chiave e` "restrizioni". :)
Mmmh, penso di non avere capito :-)
Ora ho riletto la tua prima risposta e ho visto che anche rssh e` una
cosa simile a scponly, mentre io, quando ho letto "esecuzione di
comandi remoti" ho pensato che non aveva molto senso lasciare eseguire
arbitrari comandi remoti ma non avere una ``login''... pero` ora che
ci penso meglio forse ho capito :-)
Forse l'OP vuole consentire di lanciare solo determinati comandi via
ssh, allora, se i comandi sono di ``copia'' allora basta rssh come
dici tu, se no penso che bisognerebbe usare la patch di ssh per avere
le home in chroot e andare a mettere nella home i comandi che servono
(insieme a tutte le librerie che servono).
O forse magari non ho capito proprio nulla? :-D
ouz e l'indecisione


> Ora ho riletto la tua prima risposta e ho visto che anche rssh e` una
Ma con rssh si puo' permettere l'esecuzione di comandi remoti? [1]
Fabio
[1] a parte scp, sftp, rsync e qualcun altro hardcoded che ora non
    ricordo, intendo.

 Ma con rssh si puo' permettere l'esecuzione di comandi remoti? [1]
No.
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 Ma con rssh si puo' permettere l'esecuzione di comandi remoti? [1]
No, appunto.  Per quello proponevo ssh+home_chrooted.


     ricordo, intendo.
Ni.
Sia rssh che scponly, a vari livelli, supportano fomre di chrooting.
Tutto dipende da cosa si desidera fare.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Those who do not understand Unix are condemned to reinvent it, poorly.

 No, appunto.  Per quello proponevo ssh+home_chrooted.
E non a caso ho citato entrambi, perche` YMMV.
scponly fa cose diverse da rssh.
Ed entrambi, sono piu` comodi/funzionali del generico "home_chrooted"
che cosi`, significa poco. (verosimilmente, quello che si vuole
limitare, ovvero permettere, non e` in home).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 limitare, ovvero permettere, non e` in home).
Infatti, con tutto quello che serve in un ambiente chrooted per fare
funzionare quei comandi remoti che servono.
Finche` l'OP non ci dice cosa intendeva per "eseguire comandi remoti
senza avere una login" penso che sia impossibile fare piu` chiarezza.


 
ciao, sarei io l'op?
cmq, la mia situazione è che su un cluster gli utenti devono solamente
poter sottomettere dei job in parallelo, poi hanno altri
server/workstation sulle quali fare i cavoli propri e lanciare
applicativi
con rsh/rexec potevo impedire l'utilizzo di rlogin con pam e
access.conf, e permettere rexec, ma poi avevo problemi poichè utilizza
porte inferiori alla 1024.
sto a questo punto pensando a qualche semplice workaround, tipo un exit
nel /etc/profile e cshrc e forzare il login in sshd_config.
una boiata?
ciao e grazie per l'interessamento
matteo

 poter sottomettere dei job in parallelo, 
Definisci meglio: devono poter lanciare un singolo comando?  E allora
mettiglielo come shell ;-)  Devono poterne svolgere diversi?
