Chapters ▾ 2nd Edition

4.4 Git på servern - Konfigurera servern

Konfigurera servern

Låt oss gå igenom hur du sätter upp SSH‑åtkomst på serversidan. I det här exemplet använder du metoden authorized_keys för att autentisera användare. Vi antar också att du kör en vanlig Linuxdistribution, till exempel Ubuntu.

Notera

Mycket av detta kan automatiseras med ssh-copy-id i stället för att manuellt kopiera och installera publika nycklar.

Först skapar du ett användarkonto git och en .ssh-katalog för användaren.

$ sudo adduser git
$ su git
$ cd
$ mkdir .ssh && chmod 700 .ssh
$ touch .ssh/authorized_keys && chmod 600 .ssh/authorized_keys

Därefter behöver du lägga till utvecklarnas publika SSH‑nycklar i authorized_keys för git-användaren. Anta att du redan har några betrodda publika nycklar sparade i temporära filer. De ser ut ungefär så här:

$ cat /tmp/id_rsa.john.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4L
ojG6rs6hPB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4k
Yjh6541NYsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9Ez
Sdfd8AcCIicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myiv
O7TCUSBdLQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPq
dAv8JggJICUvax2T9va5 gsg-keypair

Lägg bara till dem i git-användarens authorized_keys i .ssh-katalogen:

$ cat /tmp/id_rsa.john.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.josie.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.jessica.pub >> ~/.ssh/authorized_keys

Nu kan du skapa ett tomt kodförråd genom att köra git init med --bare, vilket initierar kodförrådet utan arbetskatalog.

$ cd /srv/git
$ mkdir project.git
$ cd project.git
$ git init --bare
Initialized empty Git repository in /srv/git/project.git/

Därefter kan John, Josie eller Jessica skicka den första versionen av projektet genom att lägga till kodförrådet som fjärrkodförråd och skicka en gren. Notera att någon måste logga in på maskinen och skapa ett bart kodförråd varje gång du vill lägga till ett projekt. Låt oss använda gitserver som värdnamn på servern där du har skapat git-användaren och kodförrådet. Om du kör detta internt och har DNS som pekar gitserver till servern kan du i praktiken använda kommandona rakt av (förutsatt att myproject redan finns lokalt):

# on John's computer
$ cd myproject
$ git init
$ git add .
$ git commit -m 'Initial commit'
$ git remote add origin git@gitserver:/srv/git/project.git
$ git push origin master

Nu kan andra klona ner det och skicka ändringar tillbaka lika enkelt:

$ git clone git@gitserver:/srv/git/project.git
$ cd project
$ vim README
$ git commit -am 'Fix for README file'
$ git push origin master

Med denna metod får du snabbt en läs- och skrivbar Git‑server för en handfull utvecklare.

Observera att alla dessa användare också kan logga in på servern och få ett skal som git-användaren. Om du vill begränsa det behöver du byta skal i /etc/passwd.

Du kan enkelt begränsa git-kontot till Git‑relaterade aktiviteter med ett begränsat skal som heter git-shell, som följer med Git. Om du sätter git-shell som inloggningsskal kan kontot inte få normal skalåtkomst. För att göra detta anger du git-shell i stället för bash eller csh som inloggningsskal. Du måste först lägga till den fullständiga sökvägen till git-shell i /etc/shells om den inte redan finns där:

$ cat /etc/shells   # see if git-shell is already in there. If not...
$ which git-shell   # make sure git-shell is installed on your system.
$ sudo -e /etc/shells  # and add the path to git-shell from last command

Nu kan du ändra skalet för en användare med chsh <användarnamn> -s <skal>:

$ sudo chsh git -s $(which git-shell)

Nu kan git-användaren fortfarande använda SSH‑anslutningen för att skicka och dra Git‑kodförråd, men kan inte få ett interaktivt skal. Om du försöker ser du ett avvisningsmeddelande som detta:

$ ssh git@gitserver
fatal: Interactive git shell is not enabled.
hint: ~/git-shell-commands should exist and have read and execute access.
Connection to gitserver closed.

I det här läget kan användare fortfarande använda SSH‑portvidarebefordran för att nå värdar som gitservern når. Om du vill förhindra det kan du redigera authorized_keys och lägga till följande alternativ före varje nyckel du vill begränsa:

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty

Resultatet ska se ut ungefär så här:

$ cat ~/.ssh/authorized_keys
no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4LojG6rs6h
PB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4kYjh6541N
YsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9EzSdfd8AcC
IicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myivO7TCUSBd
LQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPqdAv8JggJ
ICUvax2T9va5 gsg-keypair

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQDEwENNMomTboYI+LJieaAY16qiXiH3wuvENhBG...

Nu fungerar Git‑nätverkskommandon precis som vanligt, men användare får inget skal. Som utskriften säger kan du också skapa en katalog i git-användarens hemkatalog för att anpassa git-shell. Du kan till exempel begränsa vilka Git‑kommandon servern accepterar eller anpassa meddelandet som visas vid inloggningsförsök. Kör git help shell för mer information om hur man anpassar skalet.