Le 10/01/2013 19:19, JC PAROLA a écrit :

[...]

Solution simpliste qui n'est pas adaptée au final à votre cas car ne permettant pas de laisser l'accès "complet" à un shell à l'utilisateur mais pratique si l'on veut restreindre à l'usage de rsync (ou de scripts/commandes données) là où rssh par exemple limitera l'accès au seul SFTP (rsync impossible) et où lshell sera bien plus complexe :

Mettre dans le .ssh/authorized_keys2 :

command="/root/.ssh/validate-ssh.sh",no-pty,no-agent-forwarding,no-port-forwarding ssh-rsa LA_CLE_SSH_ICI
(possibilité aussi de limiter à certaines IP en rajoutant from="IP"

Puis dans le validate-ssh.sh (si commande contient des caractères permettant d'échapper tels que ;`&| elle est rejetée et doit ensuite correspondre à l'un des cas autorisés) :

#!/bin/mksh
case "$SSH_ORIGINAL_COMMAND" {
    (*\&*|*\(*|*\{*|*\;*|*\<*|*\`*|*\|*)
        print "Rejected"
    ;;
    ("rsync --server"*)
        ionice -c3 nice $SSH_ORIGINAL_COMMAND
    ;;
    ("/root/unscript.sh"|"/root/autrescript.sh")
        "$SSH_ORIGINAL_COMMAND"
    ;;
    (*)
        print "Rejected"
    ;;
}

_______________________________________________
Liste de diffusion du FRsAG
http://www.frsag.org/