Bezpiecznie ogranicz dostęp do prywatnego repozytorium Debiana

Szukałem metody ograniczenia dostępu do prywatnego repozytorium Debiana i możliwości uwierzytelnienia się w nim w sposób nieinteraktywny (tj. Przy użyciu skryptu)

Najbardziej przydatny artykuł, jaki znalazłem, jeśli faktycznie pochodzi ze strony administracyjnej Debiana, ale bezpieczna metoda używa ssh i kluczy publicznych / prywatnych. Działa świetnie, ale klucz publiczny każdego hosta musi znajdować się w pliku zdalnego kluczy autoryzowanych, aby pomyślnie się uwierzytelnić. Nie mówi nic o podaniu hasła do ssh: //, ale przypuszczam, że powinno to być możliwe.

Czy próbowałeś innych alternatyw (np. Ftps)?

Z góry dziękuję

Jeśli zawsze uruchamiasz apt-getręcznie na swoich serwerach (bez automatycznych apt-getpoleceń uruchamianych przez crons), możesz rozważyć użycie przekazywania agentów ssh . Pozwala to uniknąć konieczności zarządzania jednym kluczem publicznym / prywatnym na każdym zarządzanym serwerze i jest to prawdopodobnie bezpieczniejsze niż pozostawienie kluczy prywatnych na każdym serwerze.

Konfiguracja początkowa - połącz się z serwerami, którymi chcesz zarządzać, i dodaj coś takiego do /etc/apt/sources.listtego (w tym przykładzie założono, że chcesz połączyć swoje serwery z managerkontem):

    deb ssh://manager@my.repository.org/path other stuff

• utwórz parę kluczy prywatnych / publicznych na własnym komputerze, johndoena przykład za pomocą swojego loginu (pod warunkiem, że twój komputer działa na debian: jeśli nie, możesz to zrobić z serwera debian dedykowanego do zarządzania):

  ssh-keygen
  

• upewnij się, że jest chroniony przez silne hasło

• skopiuj swój klucz publiczny na serwer repozytorium w /home/manager/.ssh/authorized_keys:

  ssh-copy-id manager@my.repository.org
  

Raz na sesję zarządzania

• uruchom agenta ssh na swoim komputerze, wpisując:

  eval `ssh-agent`
  

• dodaj swój klucz do agenta (będzie to wymagało twojego hasła):

  ssh-add
  

Zarządzanie serwerem

• połącz się z serwerem, którym chcesz zarządzać ssh -A( -Aaktywuje przekazywanie agentów):

  ssh -A some.server.org
  

• przełącz się na root (jeśli chcesz użyć sudo, musisz skonfigurować, /etc/sudoersbo inaczej sudoprzerwie przekazywanie agentów, przeczytaj to ):

  su
  

• powinieneś być teraz w stanie połączyć się z kontem menedżera repozytorium za pomocą ssh bez ponownego wpisywania hasła, dzięki przekazaniu agenta. Dlatego apt-getpowinien działać dobrze:

  apt-get udate
  

Kończenie sesji zarządzania

• Po zakończeniu zarządzania serwerami usuń klucze z agenta:

  ssh-add -D
  

Zalety

• Wymagana jest niewielka wstępna konfiguracja
• Wymagany jest tylko jeden klucz prywatny
• Klucz prywatny jest chroniony silnym hasłem
• Jeśli ktoś uzyska dostęp do roota na jednym z twoich serwerów, nie będzie miał natychmiastowego dostępu do twojego serwera repozytorium.
  • Pamiętaj, że jeśli haker jest cierpliwy i wykwalifikowany, może poczekać, aż połączysz się z serwerem za pomocą przekazywania agentów, a także może przejąć mechanizm przekazywania, aby uzyskać dostęp do serwera repozytorium.
  • Aby temu zapobiec, możesz użyć ssh-ask, aby zaakceptować / odrzucić każdą próbę użycia klucza.
  • W każdym razie haker nie uzyska dostępu do samego klucza prywatnego: po prostu będzie mógł przejąć mechanizm przekazywania, aby użyć klucza i tylko w czasie, gdy jesteś podłączony do serwera.

Jednym ze sposobów jest umożliwienie dostępu do repozytorium określonemu zestawowi adresów IP. Działa to bardzo dobrze w przypadku sieci LAN i VPN.

Prosty i wydajny.

Rozwiązanie ssh + klucze publiczne / prywatne nie jest takie złe:

• zaloguj się jako root na maszynie klienta
• typ ssh-keygen, a następniessh-copy-id your_login@your.repository.org

• edytuj /etc/apt/sources.listi dodaj coś takiego:

  deb ssh://your_login@your.repository.org/path other stuff
  

To prawda, że ​​wymaga umieszczenia klucza publicznego każdego serwera w ~/.ssh/authorized_keyspliku na serwerze, ale nie jest to takie skomplikowane (patrz wyżej) i daje kontrolę nad tym, które serwery są dozwolone lub nie w danym momencie (możesz usunąć klucz w w dowolnym momencie authorized_keys).

Możesz skonfigurować dostęp https do swojego repozytorium, zabezpieczony loginem / hasłem (podstawowe uwierzytelnianie). Problem polega na tym, że musisz wprowadzić loginu / hasło w postaci jawnego tekstu /etc/apt/sources.list(uwaga: istnieje łatka, która pozwala na wprowadzenie loginu / hasła /root/.netrc).

Link w twoim pytaniu pokazuje wiele metod. Chcesz numer 2, https + podstawowe uwierzytelnianie.