Опция "command" файла authorized_keys позволяет указать команду, которая будет выполняться при каждом подключении пользователя по ssh.Это удобно, когда стоит задача копировать файлы на бэкап-сервер.
Например, если необходимо предоставить доступ только к файлу backup.tgz,
то допишите строку "command='cat backup.tgz'" в самое начало строки с нужным ключом файла authorized_keys.
Указанная команда будет выполняться автоматически при каждом подключении,
вам остается только перенаправить вывод в файл. Если дампов несколько,
то можно написать небольшой скрипт, вида:#!/bin/sh
read file
case "$file" in
"foo") cat foo.tgz ;;
"bar") cat bar.tgz ;;
esacКроме command, в таких случаях не лишним было бы добавить также опции no-port-forwarding, no-pty и все прочие no-*
Кроме как для бэкапов, такое же решение может подойти и для мониторинга.
Когда nagios соединяется к удаленному серверу, чтобы собрать какую-либо статистику, полный ssh-доступ ему не нужен.
URL: http://alexey.sveshnikov.ru/blog/2008/03/04/restricted-ssh/
Обсуждается: http://www.opennet.me/tips/info/1611.shtml
для копирования файлов удобно scp
Ну и маразм!
автору: man scp
>автору: man scpКомментатору 100 раз написать на доске "безопасность".
>>автору: man scp
>
>Комментатору 100 раз написать на доске "безопасность".Анонимусу проследовать за автором в сторону чтения man scp.
Хотя, по делу - а что мешает завернуть rsync в ssh?
А что мешает НЕ разворачивать уже завернутый в ssh rsync??? :) :) :)
rsync не всегда он бывает завернут в ssh. Более того, чаще всего его применяют "в чистом виде" (без "-e ssh")
rsync не всегда он бывает завернут в ssh. Более того, чаще всего его применяют "в чистом виде" (без "-e ssh")слышу о таком в первый раз, но поверю вам на слово :)
Цитата из man 1 rsync:
_can use_ any transparent remote shell, including ssh or rshВсё-таки не can use, а не use ;)
как то многа букаф... а нельзя ли просто написать:cat DUMP | ssh dd of=/PATH/DUMP
я уже молчу про написанное предыдущими ораторами
Ты не можешь дать возможность dd работать только с одним определенным файлом. Доступ по ssh = доступ на чтение почти всей системы, на запись во множество мест плюс еще полный букет неожиданностей.А здесь ты говоришь, что с той машины можно только читать и только вот этот один конкретный файл. Или записывать, но только сюда, только под таким именем и вот еще давай цифровую подпись проверим, если что - удалим нафик.
Есть разница?
> Доступ по ssh = доступ на чтение почти всей системы, на запись во множество мест плюс еще полный букет неожиданностей.Право бэкапитьдают далеко не всякому, а только доверенным людям.
Плюс к тому, существуют chroot и jail.
страшно. а делать ssh под юзером backup - и chmod+chown - дать ему читать только определенный файл? :)
зачем городить сложности-то? :)
думаю чтобы не давать шелл
shell не нужен.
хорошая вещь scp, тока к ресурсам треобовательная.
я добаловался с ним - теперь в тихую бекапную ночь load average: 28.51, 27.30, 27.29