Comment installer et configurer scponly sur CentOS 7

scponly est une alternative sécurisée au FTP anonyme. Il donne à l’administrateur la possibilité de configurer un compte d’utilisateur sécurisé avec un accès restreint aux fichiers distants et sans accès à un shell interactif.

Pourquoi utiliser scponly au lieu de SSH normal? Avec scponly, vous donnez à l’utilisateur un accès à distance pour télécharger et télécharger des fichiers spécifiques. Ils n’auront pas de shell interactif, ce qui signifie qu’ils ne peuvent pas exécuter de commandes. L’utilisateur peut uniquement accéder au serveur via + scp,` + sftp` ou via des clients prenant en charge ces protocoles. Du point de vue de la sécurité, cela réduit votre surface d’attaque en limitant les accès inutiles à un shell interactif sur un serveur.

Pour ce didacticiel, vous aurez besoin d’un nouveau gouttelette CentOS 6 ou 7.

Toutes les commandes de ce didacticiel doivent être exécutées en tant qu’utilisateur non root. Si un accès root est requis pour la commande, il sera précédé de + sudo +. Si vous ne l’avez pas déjà configuré, suivez ce tutoriel: Initial Initial Server Setup on CentOS 6 ou https. : //www.digitalocean.com/community/tutorials/initial-server-setup-with-centos-7 [Configuration initiale du serveur pour CentOS 7].

scponly est disponible dans certains référentiels tiers, mais ces versions de scponly sont obsolètes et il manque certaines des fonctionnalités que nous ajouterons lorsque nous compilerons scponly à partir du code source.

Pour compiler scponly à partir du source, vous devrez installer les 5 packages suivants:

Nous allons utiliser yum pour installer les paquets prérequis nécessaires pour compiler scponly. Au cours de l’installation, nous allons passer les noms de paquetages requis ainsi que + -y + qui répond automatiquement par oui à toutes les invites.

Installez + wget,` + gcc + , + man`, + rsync et` + openssh-clients` à l’aide de la commande + yum install +:

Dans cette section, nous allons télécharger la dernière version de scponly depuis sourceforge en utilisant + wget + et en extrayant les fichiers en utilisant + tar +.

Avant de télécharger scponly, allez dans le répertoire + / opt +. Ce répertoire est généralement désigné pour le logiciel optional.

En date de cet article, le dernier instantané de scponly est * 2011.05.26 *. Vous pouvez consulter la page Sourceforge pour une version ultérieure et ajuster la commande + wget + en conséquence.

Téléchargez la source scponly en utilisant + wget +:

Extrayez le code source scponly:

Dans cette section, nous allons utiliser 3 commandes principales pour compiler scponly: + configure +, + make + et + make install +. Ce sont les 3 commandes les plus souvent utilisées lorsque vous téléchargez et installez un logiciel à partir du code source.

Accédez au répertoire contenant le code source scponly que vous venez de décompresser:

Tout d’abord, lancez la commande + configure + pour construire un fichier make avec toutes les fonctionnalités que vous voulez activer ou désactiver lors de la compilation à partir du source:

Les options suivantes ont été utilisées:

Ensuite, nous allons construire avec la commande + make +. La commande make + utilise toutes les options que vous avez passées à l’aide de la commande + configure + et les construit dans les fichiers binaires qui seront installés et exécutés sur le système d’exploitation.

Ensuite, nous allons installer les binaires avec + make install:

Enfin, ajoutez les shell scponly au fichier + / etc / shells +:

Le fichier + / etc / shells + indique au système d’exploitation quels shells sont disponibles pour les utilisateurs. Nous disons donc au système d’exploitation que nous avons ajouté un nouveau shell au système appelé + scponly + et que le fichier binaire est situé à + ​​/ usr / local / bin / scponly +.

Nous allons maintenant créer un groupe appelé scponly afin de pouvoir gérer facilement tous les utilisateurs qui accéderont au serveur avec scponly.

Dans cette section, nous allons créer un répertoire de téléchargement centralisé pour le groupe scponly. Cela vous permet de contrôler où et combien de données peuvent être téléchargées sur le serveur.

Créez un répertoire nommé + / pub / upload +. Ce sera un répertoire dédié aux uploads:

Changez la propriété du groupe du répertoire + / pub / upload en` + scponly`:

L’étape suivante consiste à configurer les autorisations sur le répertoire + / pub / upload +. En définissant les autorisations sur ce répertoire sur 770, nous donnons uniquement accès aux utilisateurs root et aux membres du groupe scponly.

Modifiez les autorisations sur le répertoire + / pub / upload + pour lire, écrire et exécuter pour le propriétaire et le groupe et supprimer toutes les autorisations pour les autres:

Nous allons maintenant configurer un compte d’utilisateur test pour vérifier notre configuration scponly.

Créez un utilisateur nommé * testuser1 * et spécifiez * scponly * comme groupe alternatif et + / usr / local / bin / scponly + comme shell:

Modifiez les autorisations sur le répertoire de base * testuser1 * pour lire et exécuter uniquement pour le propriétaire:

Enfin, définissez un mot de passe pour l’utilisateur * testuser1 *:

Nous allons maintenant tester l’accès au shell scponly et vérifier qu’il fonctionne comme prévu.

Vérifions que le compte * testuser1 * n’a pas accès à un terminal.

Essayez de vous connecter au serveur en tant que testuser1:

Votre terminal sera bloqué car vous n’avez pas accès à un shell interactif. Appuyez sur + CTRL + C + pour quitter le shell.

Vous pouvez également tester l’accès à partir de votre ordinateur local:

Là encore, votre terminal sera bloqué car testuser1 n’est pas autorisé à accéder au shell. Appuyez sur + CTRL + C + pour quitter le shell.

Dans cette section, nous nous connecterons via + sftp de votre ordinateur local à votre droplet DigitalOcean pour vérifier que le compte` + test user1` peut télécharger les fichiers.

Commencez par créer un fichier de 100 mégaoctets en utilisant + fallocate +:

Changez la propriété du fichier + testfile.img + en testuser1:

Sur votre système local, changez le répertoire en + / tmp +:

Suivant + sftp + sur votre serveur DigitalOcean:

Vous pouvez être invité à enregistrer la clé SSH lorsque vous entrez le mot de passe.

Une fois connecté, lancez le problème + ls -l + à l’invite + sftp> +:

Téléchargez le fichier en utilisant la commande + get +:

Une fois le téléchargement du fichier terminé, tapez + quit + pour quitter:

De retour sur votre ordinateur local, vérifiez que le fichier a été téléchargé avec succès:

Dans cette section, nous allons tester la capacité du compte + testuser1 + à télécharger des fichiers sur le serveur en utilisant + sftp +.

Sur votre système local, créez un fichier de 100 mégaoctets appelé + uploadfile.img + en utilisant + fallocate +:

À partir de votre système local, connectez-vous à votre Droplet DigitalOcean.

Envoyez ensuite le fichier + uploadfile.img + vers + / pub / upload à partir de l’invite` + sftp`:

Vérifiez que le fichier a été chargé avec succès en exécutant la commande suivante à l’invite + sftp +:

Les résultats devraient ressembler à:

Enfin, tapez + quit + à l’invite + sftp +:

scponly devrait être dans la boîte à outils de chaque administrateur. Il peut être utilisé comme une alternative sécurisée au FTP anonyme ou comme un moyen de donner aux utilisateurs authentifiés la possibilité de télécharger et de télécharger des fichiers sans passer par un shell interactif. La journalisation de scponly a lieu dans le fichier journal standard ssh + / var / log / secure +. Comme toujours, lisez les pages de manuel et maintenez votre système à jour.

Pour plus d’informations sur scponly, consultez la page scponly.