|
[バックナンバーのトップへ] [Linux システム管理のトップへ] いますぐ実践! Linux システム管理 / Vol.042 / 読者数:669名こんばんは、うすだです。 我が家では、いっちょまえに、日経新聞を購読しています。 とはいえ、私の履歴書とか、日曜版の記事とか、 経済どっぷりな記事ではないところを、よく読んでいます。 で、最近気づいたのが、日曜版に掲載される、 キャリア募集の広告の大半が銀行である、という点です。
景気がよくなって株価が上がり、不良債権の目処がたってきたので、
ここらで人を雇っておくか、ということなのでしょうか。
…なんてことを思いながら、新聞を読んでいました。 なんの脈絡もないですが、それでは今週も、はりきってまいりますよ! 今週のお題 - シェルの機能を限定するシステム管理者は、ユーザの利便性とシステムの堅牢性とのトレードオフに、 頭を抱える毎日を過ごされているのではないかと思います。
使用するのはユーザの方々ですから、使いやすいと思っていただける環境を、
できる限り提供したいと思うのが、システム管理者たるものでしょう。 ですので、システムを守るため、みなさんの安全を保証するために、 一部の荒くれものなユーザの方々に対して、若干我慢をしていただくことも、 場合によってはしかたのないことではないかと思います。 というわけで今週は、ある特定のユーザさんに、機能を制限されたシェルを、 使っていただこうと思います。 ご存知の方はご存知だと思いますが、太古の昔には、rsh という、 機能を制限したシェルが存在しました。(remote shell じゃない方です。) 現在の Linux の主要なディストリビューションには、rsh は存在しないようですが、 その代わりに、rbash が存在します。 お察しの通り、ベースは bash ですが、主に以下の制限があります。
こ、これは、屈辱的ともいえる制限を強いられそうですね…。
なにはともあれ、体験してみないことには始まりません。
rbash は、bash を -r オプションつきで実行するか、自分の名前を rbash にすれば、
実行できます。 # ln -s /bin/bash /usr/local/bin/rbash そして、rbash を実行します。 % rbash 実行したら、以下のように、各制限事項の確認をしてみましょう。 % cd .. rbash: cd: restricted % export PATH="$PATH:/usr/sbin" rbash: PATH: readonly variable % /bin/ls rbash: /bin/ls: restricted: cannot specify `/' in command names % echo > a rbash: a: restricted: cannot redirect output % exec bash rbash: exec: restricted % . /tmp/a.sh rbash: .: /tmp/a.sh: restricted トラウマになりそうなくらい、かたくなに拒否されました。 ただし、bash など、他のシェルを起動できてしまえば、制限がなくなってしまいます。 (それなりに重要ですので、記憶に留めておいてください。) % bash % cd .. % /bin/ls httpd/ test/ usu/
それでは、いよいよ、
ユーザのログインシェルを rbash にしてみたいと思います。 # useradd -u 101 -g 100 -d /home/test -s /usr/local/bin/rbash test # passwd test もし、新規に作成せず、既存のユーザに設定するのであれば、usermod を使用します。 # usermod -s /usr/local/bin/rbash test
次に、他のシェルを起動されないように、PATH を限定します。 # mkdir /home/test/bin # cd /home/test/bin # for file in /bin/*; do ln -s $file; done おっと、シェルのシンボリック・リンクは、削除しておきます。 # rm *sh ash* bash* そして、余計な設定をなくし、PATH の設定を行います。 # rm /home/test/.bash* # echo 'export PATH="$HOME/bin"' > /home/test/.bash_profile
以上で、test ユーザさんは、不便な環境下におかれることになります。 さて、若干の捕捉事項があります。
まず、rbash をログインシェルにしていると、このままでは ftp ができません。
/etc/shells に、rbash を追加してください。
それから、VineLinux 3.2 では、ls が実行できませんでした。 # echo "COLOR none" > /home/test/.dircolors 以上、rbash の設定方法などについて、ご紹介しました。
くれぐれも、ユーザさんが納得された上で、あるいは絶対的な権限を得た上で、
導入するようにしていただければと思います。 宿題の答え先週の宿題は、 エイリアスファイルにメンバを直接記述するより、別のファイルを使用 した方がよい理由を、考えてみましょう。 でした。 理由というよりも、どういうときにファイルを分けると、 管理しやすいかということを、考えてみました。
逆に、メンバ数が少なくて入れ替わる可能性が低い場合は、 /etc/aliases に直接記述した方が、楽ではないかと思います。 今週の宿題今週の宿題は、 ログインシェルが rbash の場合に、制限を解除する方法を、考えてみて ください です。 前述の通り、別のシェルを起動できれば、制限を解除できます。 条件が揃わない無理っぽいですが、 いくつかの可能性が考えられるのではないかと思います。 あとがき実は、今、昨年末で一段落するはずの仕事に、どっぷりはまっています。
とあるボードに Linux を載せようとしているのですが、わかんないことだらけで、
灰色の脳細胞がてんやわんやしています。 しかし、今までブラックボックスとして扱っていたところの中を、 ひとつひとつ追っかけて理解する、ということを地道にやっていますので、 いい勉強になります。 初期化のところはこうなっていたのかとか、 BogoMIPS の計測はこうやっていたのかなど、 わからなかったことや知らなかったことが解消されると、 すかっとした爽快感を味わえます。
やはり、ソースコードを読んで中身を理解したり、
ある程度の動作を推測できるようになる必要が、いつかは生じる、
ということでしょうか。
そんな感じですので、来週は…いやいや、休みクセがついてしまうといけませんので、
来週もなんとか発行しようと思っています。
今週も、ここまで読んでいただき、ありがとうございました。
「いますぐ実践! Linux システム管理」の解除は、以下からどうぞ。
バックナンバーは、こちらにほぼ全部そろっています。
「栗日記」−技術屋のくせに、毎日栗の絵を描いています。 |
▼ トップ ▼ プロフィール ▼ リンク
▼ 作ってみました
▼ せんでん 
▼ 最近読んだ本
[X]
「センネン画報」 今日 マチ子「粟津潔 デザインする言葉」 粟津潔 「Binary Hacks」 高林 哲,鵜飼 文敏,佐藤 祐介,浜地 慎一郎,首藤 一幸 「Make: Volume01」 オライリー・ジャパン 「セーラが町にやってきた」 清野 由実 「手紙屋」 喜多川 泰 「Linuxカーネル2.6解読室」 高橋 浩和,小田 逸郎,山幡 為佐久 「人蕩し術」 無能 唱元 「子育てハッピーアドバイス2」 明橋 大二, 太田 知子 「ラッセル幸福論」 B. Russell 「それでも人生にイエスと言う」 Viktor Emil Frankl 「子育てハッピーアドバイス」 明橋 大二, 太田 知子 「考具」 加藤 昌治 「北欧デザイン<3>」 渡部 千春 「北斎の謎を解く」 諏訪 春雄 「体感美術館」 平野 暁臣 「チベット永遠の書」 Theodore Illion 「リナックスの革命」 Pekka Himanen 「人月の神話」 Frederick Phillips,Jr. Brooks 「ヤバい経済学」 Steven D. Levitt, Stephen J. Dubner 「小布施ッション<2001-2002>」 セーラ・マリ カミングス 「アンパンマン伝説」 やなせ たかし 「夢をかなえるゾウ」 水野 敬也 「ゲーム開発者のためのAI入門」 David M. Bourg, Glenn Seemann 「北欧デザイン<2>」 渡部 千春 「北欧デザイン<1>」 渡部 千春 「ヒューマン2.0」 渡辺 千賀 「中国・ロシア同盟がアメリカを滅ぼす日」 北野 幸伯 「超ロング・セラー 絶滅寸前商品」 湯浅 豊彦 「The BUG(ザ・バグ)」 すずき ひろのぶ,かとう みつあき 「デザインのデザイン」 原 研哉 「マキアヴェッリ語録」 塩野 七生 「ハンバーガーを待つ3分間の値段」 斎藤 由多加 「星の旅人-スペイン「奥の細道」-」 黛 まどか 「食品の裏側」 安部 司 「On Lisp」 Paul Graham 「ぼくが医者をやめた理由 つづき」 永井 明 「あなたならどうする?」 Jack Nikolaschka 「セキュアプログラミング−失敗から学ぶ設計・実装・運用・管理」 Mark G. Graff, Kenneth R. van Wyk 「「左利き」は天才？−利き手をめぐる脳と進化の謎」 David Wolman 「自分の中に毒を持て」 岡本 太郎 「アトピーの薬を減らす本」 田中 貴子 「岡本太郎「明日の神話」修復960日間の記録」 吉村 絵美留 「X51.ORG THE ODYSSEY」 佐藤 健寿 「アレルギーっ子の暮らし応援BOOK」 佐藤 のり子 「沖縄文化論」 岡本 太郎 「「伝説の社員」になれ!」 土井 英司 「コンピュータの構成と設計(上)」 Patterson & Hennessy 「カラスのジョンソン」 明川 哲也 「ドリルを売るには穴を売れ」 佐藤 義典 「頭がよくなる照明術」 結城 未来 「クロフォードのインタラクティブデザイン論」 Chris Crawford 「いじめの根を絶ち子どもを守るガイド」 Barbara Coloroso 「非常識のすすめ―逆発想の仏教論」 ひろさちや 「Linuxアドバンストネットワーク構築ガイド - HAサーバ構築編」 デージーネット 「イノベーションの達人!」 Tom Kelly, Jonathan Littman 「クリエーター50人が語る創造の原点」 小原 啓渡 「欺術 - 史上最強のハッカーが明かす禁断の技法」 Kevin Mitnick 「楽しい気象観察図鑑」 武田 康男 「入門 Ajax」 高橋 登史朗 「リリカルな自画像」 岡本 太郎 「やぎの目ゴールデンベスト」 林 雄司 「初めてのPython 第2版」 Mark Lutz,David Ascher 「鼻兎」 小林 賢太郎 「なぜ、これがアートなの?」 Amelia Arenas 「芸術起業論」 村上 隆 「まほう色の瞳」 Enrique Barrios 「ラーメンズつくるひとデコ」 ラーメンズ 「R25 つきぬけた男たち」 R25編集部 「美の呪力」 岡本 太郎 「しろのあお」 上大岡 トメ 「ザ・ゴール」 Eliyahu M. Goldratt 「ハッカーと画家」 Paul Graham 「岡本太郎に乾杯」 岡本 敏子 「Fedore Core Expert」 Software Design 「誰も知らない男」 ブルース・バートン 「子どもが育つ魔法の言葉」 ドロシー・ロー・ノルト 「国家の罠」 佐藤 優 「夜回り先生」 水谷 修 「やぎの目絵日記」 林 雄司 「7つの習慣」 スティーブン・R. コヴィー 「まろ、ん?−大掴源氏物語」 小泉 吉宏 「ザ・サーチ グーグルが世界を変えた」 ジョン・バッテル 「ポストモダン・マーケティング」 スティーブン ブラウン 「機動戦士ガンダムさん」 大和田 秀樹 「小エロのひみつ - Webやぎの目研究発表」 林 雄司 「これ、誰がデザインしたの?」 渡部千春 「60分間・企業ダントツ化プロジェクト」 神田 昌典 「ガルシアへの手紙」 エルバート ハバード 「人生は素晴らしいものだ」 オグ・マンディーノ 「ザ・マインドマップ」 トニー・ブザン,バリー・ブザン 「ワインバーグのシステム思考法」 G.M.ワインバーグ 「渋谷ではたらく社長の告白」 藤田 晋 「渋井真帆の日経新聞読みこなし隊」 渋井 真帆 「コラム息切れ」 小野 法師丸 「早朝起業」 松山 真之介 「変な人が書いた驚くほどツイてる話」 斎藤 一人 「35歳から仕事で大切にしたいこと」 村井 勉 「金融広告を読め」 吉本 佳生 「発想する会社!」 トム・ケリー,ジョナサン・リットマン 「エハイク」 吉田 戦車 「人生の旋律」 神田 昌典 「仕事の思想」 田坂 広志 「CPUの創りかた」 渡波 郁 「非常識な成功法則」 神田 昌典 …これ以前は記録してません…
▼ 気に入ってる本
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
