setfacl -m u：test1：r / bin / su

Question

我在一个群组中有一个用户：“演示”。

我想设置这个用户可以运行10个命令的策略，如“vim”，“nano”，“cd”等。

或者，将策略设置为可以访问除“ssh”和“cat”命令之外的所有命令。

由于

Answer 1

有很多不同的方法可以实现这一目标。我将列出几种可能的解决方案之一。

我建议使用几个不同的保护层来防止用户运行不应该被允许访问的命令。这里的所有指示都假设用户拥有自己的/home/[username]目录，他们的shell是/bin/bash，并且您希望他们在登录系统时使用bash shell。

1）将用户的bash更改为受限制的bash模式，以便他们无法更改目录（如果您的系统上没有受限制的bash模式，this link将有助于并为您提供更多信息） chsh -s /bin/rbash [username]

2）更改目录权限，以便只有用户才能编辑其主目录的内容

chmod 755 /home/[username]

3）删除用户的.bashrc文件

rm /home/[username]/.bashrc This site提供了更多信息，说明为什么在这种情况下删除.bashrc可能是个好主意。

4）创建.bash_profile并为要禁用的所有命令添加“安全”别名

./ bash_profile文件示例

alias apt-get="printf ''"  
alias aptitude="printf ''"  
[...]  
alias vi="vi -Z" #this is vi's safe mode and shell commands won't be run from within vi
alias alias="printf ''"

请查看the full list of bash commands了解详情。您必须确保alias alias="printf ''"命令是列表中的最后一个命令，否则您将失去对所有这些命令进行别名的能力。

注意运行以下命令将搜索系统上几乎所有可用的命令，并输出现成的文件，几乎所有可用的命令都会预先设置别名。 [命令是bash中的test命令。所以如果你在文件中看到它，那不是错误。

#search /bin and /usr/bin for any commands that exist on our system ls /bin -1 > commands_on_system.txt && ls /usr/bin -1 >> commands_on_system.txt #format and save this information to a bash variable IFS=$'\n' GLOBIGNORE='*' command eval 'COMMANDS_ON_SYSTEM=($(cat ./commands_on_system.txt))' IFS=$'\n' COMMANDS_ON_SYSTEM=($(sort <<<"${COMMANDS_ON_SYSTEM[*]}")) unset IFS #save these commands in aliased format for easy usage for linux_command in "${COMMANDS_ON_SYSTEM[@]}" do : #you can change how this works to automatically #setup the command file for you echo "alias ${linux_command}=\"printf ''\"" >> ./startup_functions_for_beginners.sh done

5）通过将vi命令别名化为限制模式来禁用vi中的shell命令语法为alias vi="vi -Z"，但请参阅this site以获取更多信息。

6）将用户的.bash_profile的所有权更改为root
chown root:root /home/[username]/.bash_profile

7）最后，删除用户.bash_profile的写权限 chmod 755 /home/[username/.bash_profile]

现在，当用户登录时，他们将无法更改目录，您不希望他们使用的所有命令将输出相同的信息，就像用户按下[ENTER]键一样没有指定命令，您的/bin/bash函数保持不变。

根据您选择或不使用别名的功能，用户可能仍然可以规避您实施的某些控件。但是，由于我们实现了一些安全缓冲区，用户真的必须知道计算机系统做任何危险。

在相关的说明和您可能想要考虑的事情上，如果您直接将这些别名放入每个用户.bash_profile中，您将很难维护哪些功能应该和不应该是别名，如果您需要更改任何您必须单独更改所有内容的别名。此外，由于用户可以使用vim或vi来查看文件，因此他们可以查看其.bash_profile的内容，并了解他们拥有和没有的限制。

为了解决这个问题，我建议。

1）将所有别名放在用户无法访问的目录中（在此处粘贴.bash_profile的内容）

/[path_to_file]/startup_functions_for_beginners.sh

2）将别名转换为.bash_profile

改进了./bash_profile文件示例

if [[ -f /[path_to_file]/startup_functions_for_beginners.sh ]]; then . /[path_to_file]/startup_functions_for_beginners.sh fi

这应该会让你走上正轨，但请记住，几乎总有办法规避限制。

此外，请随时重新混合此答案中的信息以满足您的需求。这些也绝对可以与许多其他限制相结合。

问：我需要用户有权访问fg和bg，但我不希望他们能够访问aptitude或bash

alias apt-get="printf ''" #the user won't be able to run this alias aptitude="printf ''" #the user won't be able to run this alias bash="printf ''" #the user won't be able to run this #alias fg="printf ''" #this will run as a bash built-in #alias bg="printf ''" #you actually don't need to include these in your script

根据此Harvard Website（非排他性）
的常用命令列表
当您将程序安装到Linux时，您可以使用的更改。我建议您在步骤4中运行上面列出的命令，以帮助在安装后找到新命令。

应该谨慎对待编辑，因为有些允许从程序中执行shell命令

nano emacs pico sed vi vim

其他一切

exit logout passwd rlogin ssh slogin yppasswd mail mesg pine talk write as awk bc cc csh dbx f77 gdb gprof kill ld lex lint make maple math nice nohup pc perl prof python sh yacc xcalc apropos find info man whatis whereis cd chmod chown chgrp cmp comm cp crypt diff file grep gzip ln ls lsof mkdir mv pwd quota rm rmdir stat sync sort tar tee tr umask uncompress uniq wc cat fold head lpq lpr lprm more less page pr tail zcat xv gv xpdf ftp rsync scp alias chquota chsh clear echo pbm popd pushd script setenv stty netstat rsh ssh bg fg jobs ^y ^z clock date df du env finger history last lpq manpath printenv ps pwd set spend stty time top uptime w who whois whoami gimp xfig xv xvscan xpaint kpaint mplayer realplay timidity xmms abiword addbib col diction diffmk dvips explain grap hyphen ispell latex pdfelatex latex2html lookbib macref ndx neqn nroff pic psdit ptx refer roffbib sortbib spell ispell style tbl tex tpic wget grabmode import xdpyinfo xkill xlock xterm xwininfo html2ps latex2html lynx netscape sitecopy weblint

Answer 2

我知道我迟到了，事实上已经迟到了2年，但我刚才偶然发现了适合你情况的解决方法。我有一个用户，让我们称他为“test1”，需要限制一些命令，比如“su”，但其余的应该可用。为了应用这个限制，我只是在命令本身后面的二进制文件中使用了ACL（假设你的FS上已经启用了acls），如下所示：

setfacl -m u：test1：r / bin / su

上述命令更改了特定二进制文件的权限，实际上是“su”命令，以授予用户“test1”仅对该文件的读访问权限。因此，当用户“test1”试图“执行”“su”命令时，他无法在其后面运行脚本并获得“权限被拒绝”。

只需运行“which command_you_want_restricted”即可查看其背后的文件。

我在Red Hat 6.5＆amp ;;上测试了这种方法。 7，它只影响用户“test1”，所有其他用户可以随意继续运行“su”。

至于你的具体要求：

“或者，将策略设置为可以访问除”ssh“和”cat“命令之外的所有命令。”

对于你想要的命令二进制文件中的“demo”组，您可以使用ACL执行相同的操作，但我没有对组进行测试，我建议您事先在测试VM上尝试它。

此致

Answer 3

标准答案是使用受限制的shell，使其成为该组中用户的密码文件中的最后一个条目。因为您可以运行vim之类的外部命令：http://web.physics.ucsb.edu/~pcs/apps/editors/vi/vi_unix.html

如果您正在尝试制作受限制的环境，这似乎不是一个好主意。用户可以做的第一件事是使用上面链接中的命令来运行/bin/bash，并且他将在受限制的环境之外。

更好的想法是将每个用户的登录信息放入chroot jail或者轻量级容器中（因此如果它们破坏了任何东西，那就是它们自己的容器）。看看Docker - http://docker.io。

Answer 4

@Dodzi Dzakuma解决方案非常有用，如果您只希望禁用一些命令。

但是，如果只希望允许用户运行多个命令，这是一个更好的解决方案：

将用户外壳更改为受限bash
```
chsh -s /bin/rbash <username>
```

sudo mkdir /home/<username>/bin
sudo chmod 755 /home/<username>/bin

将用户的默认PATH更改为bin目录

echo "PATH=$HOME/bin" >> /home/<username>/.bashrc
echo "export PATH >> /home/<username>/.bashrc

创建用户所需命令的符号链接

sudo ln -s /bin/<command> /home/<username>/bin/

限制用户修改〜/ .bashrc
```
chattr +i /home/<username>/.bashrc
```

如果只希望允许用户运行多个命令，则更好，因为与其设置所有可能的命令的别名以禁用它们，您仅设置要允许的命令的符号链接。

Answer 5

我有点惊讶没有人在他们的答案中使用原生SSH功能......我知道我已经晚了4年但它仍然可以派上用场：）

使用SSH时，您应该使用密钥登录;当我们谈论保护服务器时，禁用密码登录应该是您应该做的第一件事。因此，当您使用密钥时，您现在可以通过在authorized_keys文件中添加密钥来仅允许每个密钥使用一个命令：

command="only" ssh-rsa AAABBBCC....

only命令是白名单功能，允许用户仅运行这些命令。您不必通过更改默认的二进制权限（管理员地址......）来对系统进行例外处理。确保将authorized_keys文件设置为对用户不可写。

唯一的命令是必须安装在/usr/bin/且具有775权限的脚本。

阅读所有相关信息：The Only Way For SSH Forced Commands

现在您了解它是如何工作的，您可以简单地将任何允许用户执行的命令列入白名单：

command="only cal cowsay factor figlet fortune" ssh-rsa AAABBBCC....

或者使用具有正确语法的.onlyrules文件，注意不要使用任何贪婪的正则表达式。

  ----------------------
  <   I'm restricted   >
  ----------------------
         \   ^__^ 
          \  (oo)\_______
             (__)\       )\/\
                 ||----w |
                 ||     ||

Answer 6

我在组织中也遇到过类似的情况，我不得不限制人员只能访问某些命令。

到目前为止，我已经找到了两种不同的方法。

only方法
完全具有不同的Shell。 rbash，lshell，dockersh

这是我的想法。

如果希望用户登录并执行某些命令，然后完全退出外壳，则采取唯一方法。最好与Rbash结合使用。
在3个shell中，我觉得lshell最容易实现，尤其是在使用Ubuntu及其衍生版本的情况下。您只需要通过apt安装软件包，然后编辑配置即可。这是最简单的。

rbash适用于阻止cli上的重定向和某些字符等基本内容，但是要执行将某些命令列入白名单等高级内容，则需要加倍努力。

Dockersh是一种完全新颖的限制外壳的方法。在这里，您可以进行所有操作，但可以将所有用户的操作限制在一个容器中。

在我的用例中，我不得不将用户限制在一个基于shell的重定向，管道等功能关闭的单个命令上，因此我选择了lshell。几乎不需要5分钟即可完成配置。查找详细信息here。

如何在Linux中限制用户命令

6 个答案:

setfacl -m u：test1：r / bin / su