Надежно ограничьте доступ к частному репозиторию Debian

Я искал способ ограничить доступ к частному репозиторию Debian и иметь возможность аутентификации в нем неинтерактивно (т.е. используя скрипт)

Самая полезная статья, которую я нашел, если на самом деле одна с сайта администрирования Debian, но безопасный метод использует ssh и открытые / закрытые ключи. Он прекрасно работает, но открытый ключ каждого хоста должен находиться внутри удаленного файла authorized_keys для успешной аутентификации. В нем ничего не сказано о предоставлении пароля для ssh: // но я полагаю, что это возможно.

Вы пробовали другие альтернативы (например, ftps)?

заранее спасибо

Если вы всегда запускаете apt-getна своих серверах вручную (автоматические apt-getкоманды не запускаются crons), то вы можете рассмотреть возможность использования переадресации агента ssh . Это позволяет избежать необходимости управлять одной парой открытых / закрытых ключей для каждого сервера, которым вы управляете, и, вероятно, безопаснее, чем оставлять закрытые ключи на каждом сервере.

Начальная конфигурация - подключитесь к серверам, которыми вы хотите управлять, и добавьте что-то вроде этого /etc/apt/sources.list(в этом примере предполагается, что вы хотите, чтобы ваши серверы подключались к managerучетной записи):

    deb ssh://manager@my.repository.org/path other stuff

• создайте пару личных / открытых ключей на вашем собственном компьютере, johndoeнапример , с вашим логином (при условии, что ваш компьютер работает на Debian: если нет, вы можете сделать это с сервера Debian, выделенного для управления):

  ssh-keygen
  

• убедитесь, что он защищен сильной ключевой фразой

• скопируйте ваш открытый ключ на сервер репозитория в /home/manager/.ssh/authorized_keys:

  ssh-copy-id manager@my.repository.org
  

Один раз за сеанс управления

• запустите на своей машине агент ssh, набрав:

  eval `ssh-agent`
  

• добавьте ваш ключ к агенту (для этого потребуется ваша фраза-пароль):

  ssh-add
  

Управление сервером

• подключиться к серверу, которым вы хотите управлять ssh -A( -Aактивирует переадресацию агента):

  ssh -A some.server.org
  

• переключитесь на root (если вы хотите использовать его, sudoвам нужно настроить его, /etc/sudoersиначе вы sudoперестанете переадресовывать агент, прочитайте это ):

  su
  

• Теперь вы сможете подключиться к учетной записи менеджера репозитория с помощью ssh без повторного ввода пароля, благодаря переадресации агента. Поэтому apt-getдолжно работать просто отлично:

  apt-get udate
  

Завершение сеанса управления

• Как только вы закончили управлять своими серверами, удалите ключи из агента:

  ssh-add -D
  

преимущества

• Не требуется много начальной настройки
• Требуется только один закрытый ключ
• Закрытый ключ защищен надежной парольной фразой
• Если кто-то получит root-доступ к одному из ваших серверов, он не получит немедленного доступа к вашему серверу хранилища.
  • Обратите внимание, что если хакер терпелив и квалифицирован, он может подождать, пока вы подключитесь к серверу, используя переадресацию агента, и он может перехватить механизм пересылки, чтобы получить доступ к вашему серверу репозитория.
  • Чтобы предотвратить это, вы можете использовать их ssh-askдля принятия / отказа от каждой попытки использования вашего ключа.
  • В любом случае, хакер не получит доступ к самому закрытому ключу: он сможет просто взломать механизм пересылки, чтобы использовать ключ, и только в течение времени, когда вы подключены к серверу.

Один из способов сделать это - просто разрешить определенному набору IP-адресов доступ к хранилищу. Это очень хорошо работает для локальной сети и VPN.

Просто и эффективно.

Решение SSH + государственные / частные ключи не что плохо:

• войти в систему как root на клиентском компьютере
• типа ssh-keygen, тоssh-copy-id your_login@your.repository.org

• отредактировать /etc/apt/sources.listи добавить что-то вроде:

  deb ssh://your_login@your.repository.org/path other stuff
  

Конечно, это требует, чтобы вы поместили открытый ключ каждого сервера в ~/.ssh/authorized_keysфайл на сервере, но это не так сложно (см. Выше) и дает вам контроль над тем, какие серверы вы разрешаете или нет в любой момент времени (вы можете удалить ключ в любое время в authorized_keys).

Вы можете настроить доступ https к вашему хранилищу, защищенный логином / паролем (обычная аутентификация). Проблема заключается в том, что вам необходимо ввести логин / пароль в виде открытого текста /etc/apt/sources.list(примечание: есть патч, позволяющий /root/.netrcвместо этого вводить логин / пароль ).

Ссылка в вашем вопросе показывает несколько методов. Вы хотите номер 2, https + обычная аутентификация.