ארגון גישה מרובה משתמשים לשרת GIT

בעת התקנה והגדרה של שרת Git, עולה השאלה לגבי ארגון גישה למספר משתמשים למספר פרויקטים. חקרתי את הנושא ומצאתי פתרון שענה על כל הדרישות שלי: פשוט, בטוח, אמין.

המשאלות שלי הן:

• כל משתמש מתחבר לחשבון שלו
• מספר משתמשים יכולים לעבוד על פרויקט אחד
• אותו משתמש יכול לעבוד על מספר פרויקטים
• לכל משתמש יש גישה רק לפרויקטים שבהם הוא עובד
• זה אמור להיות אפשרי להתחבר דרך שורת הפקודה, ולא רק דרך איזשהו ממשק אינטרנט

זה גם יהיה נהדר:

• להעניק הרשאות קריאה בלבד לבעלי שליטה
• ניהול נוח של זכויות גישה למשתמש ב-Git

סקירה כללית של אפשרויות אפשריות לגישה לשרת GIT

קודם כל, אתה צריך לדעת מה לבחור, אז הנה סקירה מהירה של פרוטוקולי Git.

• ssh - חשבון משתמש שנוצר במיוחד משמש לגישה לשרת.
  • מוזר ש-Git לא שוללת מההמלצות שלה שימוש בחשבון אחד כדי לגשת לכל המאגרים. זה בכלל לא עונה על הדרישות שלי.
  • אתה יכול להשתמש במספר חשבונות, אבל איך אתה יכול להגביל את גישת המשתמש לספריות מסוימות בלבד?
    • סגירה לספריית הבית אינה מתאימה, כי קשה לארגן שם גישת כתיבה עבור משתמשים אחרים
    • השימוש בקישורים סימליים מהספרייה הביתית שלך הוא גם קשה מכיוון ש-Git לא מפרש אותם כקישורים
    • אפשר להגביל את הגישה למתורגמן, אבל אין ערובה מלאה שזה תמיד יעבוד
      • אתה יכול בדרך כלל לחבר מתורגמן פקודות משלך עבור משתמשים כאלה, אבל
        • ראשית, זו כבר איזושהי החלטה קשה,
        • ושנית, ניתן לעקוף זאת.

  אבל אולי זו לא בעיה שהמשתמש יוכל לבצע פקודות כלשהן?.. באופן כללי, לא ניתן לשלול את השיטה הזו אם תבינו בדיוק איך להשתמש בה. נחזור לשיטה הזו מאוחר יותר, אבל לעת עתה נשקול בקצרה את האלטרנטיבות האחרות, אולי יהיה משהו פשוט יותר.

• ניתן להשתמש בפרוטוקול המקומי של git בשילוב עם sshfs, ניתן להשתמש במספר משתמשים, אבל בעצם זהה למקרה הקודם
• http - לקריאה בלבד
• git הוא לקריאה בלבד
• https - קשה להתקנה, צריך תוכנה נוספת, איזשהו לוח בקרה כדי לארגן את גישת המשתמש... זה נראה אפשרי, אבל איכשהו הכל מסובך.

שימוש בפרוטוקול ssh לארגון גישה מרובה משתמשים לשרת Git

נחזור לפרוטוקול ssh.

מכיוון שאתה משתמש בגישה ל-ssh עבור git, אתה צריך להבטיח את האבטחה של נתוני השרת. המשתמש שמתחבר דרך ssh משתמש בכניסה משלו בשרת הלינוקס, כך שהוא יכול להתחבר דרך לקוח ssh ולגשת לשורת הפקודה של השרת.
אין הגנה מלאה מפני גישה כזו.

אבל המשתמש לא אמור להתעניין בקבצי לינוקס. מידע משמעותי מאוחסן רק במאגר git. לכן, ניתן לא להגביל את הגישה דרך שורת הפקודה, אלא להשתמש בכלי לינוקס כדי לאסור על המשתמש לצפות בפרויקטים, למעט אלו שבהם הוא משתתף.
הבחירה הברורה היא להשתמש במערכת ההרשאות לינוקס.

כפי שכבר צוין, ניתן להשתמש רק בחשבון אחד עבור גישת ssh. תצורה זו אינה בטוחה עבור מספר משתמשים, למרות שהיא כלולה ברשימת אפשרויות ה-GIT המומלצות.

כדי ליישם את הדרישות שניתנו בתחילת המאמר, נוצר מבנה הספריות הבא עם הקצאת זכויות ובעלים:

1) ספריות פרויקטים

dir1(proj1:proj1,0770)
dir2(proj2:proj2,0770)
dir3(proj3:proj3,0770)
...
איפה
dir1, dir2, dir3 - ספריות פרויקטים: פרויקט 1, פרויקט 2, פרויקט 3.

proj1:proj1, proj2:proj2, proj3:proj3 הם משתמשי לינוקס שנוצרו במיוחד המוקצים כבעלים של ספריות הפרויקטים המתאימות.

ההרשאות לכל הספריות מוגדרות ל-0770 - גישה מלאה לבעלים ולקבוצה שלו ואיסור מוחלט לכל השאר.

2) חשבונות מפתחים

Разработчик 1: dev1:dev1,proj1,proj2
Разработчик 2: dev2:dev2,proj2,proj3

נקודת המפתח היא שמפתחים מוקצית קבוצה נוספת של הבעלים של משתמש המערכת של הפרויקט המתאים. זה נעשה על ידי מנהל שרת לינוקס בפקודה אחת.

בדוגמה זו, "מפתח 1" עובד על פרויקטים proj1 ו-proj2, ו-"מפתח 2" עובד על פרויקטים proj2 ו-proj3.

אם מישהו מהמפתחים מתחבר באמצעות ssh דרך שורת הפקודה, אזי הזכויות שלו לא יספיקו אפילו כדי לצפות בתוכן של ספריות פרויקטים שבהן הוא לא שותף. הוא לא יכול לשנות זאת בעצמו.

מכיוון שהבסיס לעיקרון זה הוא האבטחה הבסיסית של זכויות לינוקס, סכימה זו אמינה. בנוסף, התוכנית קלה מאוד לניהול.

בואו נעבור לתרגול.

יצירת מאגרי Git בשרת לינוקס

בוא נבדוק.

[root@server ~]# cd /var/
[root@server var]# useradd gitowner
[root@server var]# mkdir gitservertest
[root@server var]# chown gitowner:gitowner gitservertest
[root@server var]# adduser proj1
[root@server var]# adduser proj2
[root@server var]# adduser proj3
[root@server var]# adduser dev1
[root@server var]# adduser dev2
[root@server var]# passwd dev1
[root@server var]# passwd dev2

נמאס לי להקליד ביד...

[root@server gitservertest]# sed "s/ /n/g" <<< "proj1 proj2 proj3" | while read u; do mkdir $u; chown $u:$u $u; chmod 0770 $u; done

[root@server gitservertest]# usermod -aG proj1 dev1
[root@server gitservertest]# usermod -aG proj2 dev1
[root@server gitservertest]# usermod -aG proj2 dev2
[root@server gitservertest]# usermod -aG proj3 dev2

אנו משוכנעים שאי אפשר לגשת למאגרים של אנשים אחרים משורת הפקודה ואפילו להציג את תוכנם.

[dev1@server ~]$ cd /var/gitservertest/proj3
-bash: cd: /var/gitservertest/proj3: Permission denied
[dev1@server ~]$ ls /var/gitservertest/proj3
ls: cannot open directory /var/gitservertest/proj3: Permission denied

שתף פעולה עם מפתחים מרובים באותו פרויקט ב-Git

נותרה שאלה אחת, אם מפתח אחד מציג קובץ חדש, מפתחים אחרים לא יכולים לשנות אותו, כי הוא עצמו הבעלים שלו (לדוגמה, dev1), ולא הבעלים של המשתמש של הפרויקט (לדוגמה, proj1). מכיוון שיש לנו מאגר בצד השרת, קודם כל, עלינו לדעת כיצד בנויה ספריית ".git" והאם נוצרים קבצים חדשים.

יצירת מאגר Git מקומי ודחיפה לשרת Git

בואו נעבור למחשב הלקוח.

Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.

C:gittest>git init .
Initialized empty Git repository in C:/gittest/.git/

C:gittest>echo "test dev1 to proj2" > test1.txt

C:gittest>git add .

C:gittest>git status
On branch master
No commits yet
Changes to be committed:
  (use "git rm --cached <file>..." to unstage)
        new file:   test1.txt

C:gittest>git commit -am "new test file added"
[master (root-commit) a7ac614] new test file added
 1 file changed, 1 insertion(+)
 create mode 100644 test1.txt
 
C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>git push origin master
dev1:[email protected]'s password:
Counting objects: 3, done.
Writing objects: 100% (3/3), 243 bytes | 243.00 KiB/s, done.
Total 3 (delta 0), reused 0 (delta 0)
To ssh://10.1.1.11/var/gitservertest/proj2
 * [new branch]      master -> master

C:gittest>

במקביל, נוצרים קבצים חדשים בשרת, והם שייכים למשתמש שביצע את הדחיפה

[dev1@server proj2]$ tree
.
├── 1.txt
├── branches
├── config
├── description
├── HEAD
├── hooks
│   ├── applypatch-msg.sample
│   ├── commit-msg.sample
│   ├── post-update.sample
│   ├── pre-applypatch.sample
│   ├── pre-commit.sample
│   ├── prepare-commit-msg.sample
│   ├── pre-push.sample
│   ├── pre-rebase.sample
│   └── update.sample
├── info
│   └── exclude
├── objects
│   ├── 75
│   │   └── dcd269e04852ce2f683b9eb41ecd6030c8c841
│   ├── a7
│   │   └── ac6148611e69b9a074f59a80f356e1e0c8be67
│   ├── f0
│   │   └── 82ea1186a491cd063925d0c2c4f1c056e32ac3
│   ├── info
│   └── pack
└── refs
    ├── heads
    │   └── master
    └── tags

12 directories, 18 files
[dev1@server proj2]$ ls -l objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
-r--r--r--. 1 dev1 dev1 54 Jun 20 14:34 objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
[dev1@server proj2]$

כאשר אתה מעלה שינויים לשרת Git, נוצרים קבצים וספריות נוספות, והבעלים שלהם הוא למעשה המשתמש שמבצע את ההעלאה. אבל אז הקבוצה של הקבצים והספריות האלה מתאימה גם לקבוצה הראשית של המשתמש הזה, כלומר, קבוצת dev1 עבור משתמש dev1 וקבוצת dev2 עבור משתמש dev2 (שינוי הקבוצה הראשית של משתמש המפתח לא יעזור, כי אז איך אתה יכול לעבוד על מספר פרויקטים?). במקרה זה, משתמש dev2 לא יוכל לשנות קבצים שנוצרו על ידי משתמש dev1, מה שעלול להוביל להתמוטטות בפונקציונליות.

Linux chown - שינוי בעלים של קובץ על ידי משתמש רגיל

הבעלים של קובץ לא יכול לשנות את הבעלות שלו. אבל הוא יכול לשנות את הקבוצה של קובץ ששייך לו, ואז קובץ זה יכול להשתנות על ידי משתמשים אחרים שנמצאים באותה קבוצה. זה מה שאנחנו צריכים.

שימוש בהוק Git

ספריית העבודה עבור hook היא ספריית הבסיס של הפרויקט. hook הוא קובץ הפעלה שרץ מתחת למשתמש שעושה את הדחיפה. בידיעה זו נוכל ליישם את התוכניות שלנו.

[dev1@server proj2]$ mv hooks/post-update{.sample,}
[dev1@server proj2]$ sed -i '2,$ s/^/#/' hooks/post-update
[dev1@server proj2]$ cat <<< 'find . -group $(whoami) -exec chgrp proj2 '"'"'{}'"'"' ;' >> hooks/post-update

או רק

vi hooks/post-update

בואו נחזור למכונת הלקוח.

C:gittest>echo "dev1 3rd line" >> test1.txt

C:gittest>git commit -am "3rd from dev1, testing server hook"
[master b045e22] 3rd from dev1, testing server hook
 1 file changed, 1 insertion(+)

C:gittest>git push origin master
dev1:[email protected]'s password:
   d22c66e..b045e22  master -> master

בשרת Git, אנו בודקים את פעולת הסקריפט שלאחר עדכון ה-hook לאחר ה-commit

[dev1@server proj2]$ find . ! -group proj2

- ריק, הכל בסדר.

חיבור מפתח שני ב-Git

בואו נדמה את עבודתו של המפתח השני.

על הלקוח

C:gittest>git remote remove origin

C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>echo "!!! dev2 added this" >> test1.txt

C:gittest>echo "!!! dev2 wrote" > test2.txt

C:gittest>git add test2.txt

C:gittest>git commit -am "dev2 added to test1 and created test2"
[master 55d49a6] dev2 added to test1 and created test2
 2 files changed, 2 insertions(+)
 create mode 100644 test2.txt

C:gittest>git push origin master
[email protected]'s password:
   b045e22..55d49a6  master -> master

ובאותו הזמן, בשרת...

[dev1@server proj2]$ find . ! -group proj2

- שוב ריק, הכל עובד.

מחיקת פרויקט Git והורדת הפרויקט משרת Git

ובכן, אתה יכול שוב לוודא שכל השינויים נשמרו.

C:gittest>rd /S /Q .
Процесс не может получить доступ к файлу, так как этот файл занят другим процессом.

- כדי למחוק פרויקט Git, פשוט נקה את הספרייה לחלוטין. בוא נשלים עם השגיאה שנוצרת, מכיוון שאי אפשר למחוק את הספרייה הנוכחית באמצעות הפקודה הזו, אבל זו בדיוק ההתנהגות שאנחנו צריכים.

C:gittest>dir
 Содержимое папки C:gittest

21.06.2019  08:43    <DIR>          .
21.06.2019  08:43    <DIR>          ..

C:gittest>git clone ssh://[email protected]/var/gitservertest/proj2
Cloning into 'proj2'...
[email protected]'s password:

C:gittest>cd proj2

C:gittestproj2>dir
 Содержимое папки C:gittestproj2

21.06.2019  08:46    <DIR>          .
21.06.2019  08:46    <DIR>          ..
21.06.2019  08:46               114 test1.txt
21.06.2019  08:46                19 test2.txt
C:gittestproj2>type test1.txt
"test dev1 to proj2"
"dev1 added some omre"
"dev1 3rd line"
"!!! dev2 added this"

C:gittestproj2>type test2.txt
"!!! dev2 wrote"

שיתוף גישה ב-Git

עכשיו בואו נוודא שגם דרך Git המפתח השני לא יכול לגשת לפרויקט Proj1, עליו הוא לא עובד.

C:gittestproj2>git remote remove origin

C:gittestproj2>git remote add origin "ssh://[email protected]/var/gitservertest/proj1"

C:gittestproj2>git push origin master
[email protected]'s password:
fatal: '/var/gitservertest/proj1' does not appear to be a git repository
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

כעת אנו מאפשרים גישה

[root@server ~]# usermod -aG proj1 dev2

ואחרי זה הכל עובד.

C:gittestproj2>git push origin master
[email protected]'s password:
To ssh://10.1.1.11/var/gitservertest/proj1
 * [new branch]      master -> master

לקבלת מידע נוסף,

בנוסף, אם יש בעיה עם הרשאות ברירת המחדל בעת יצירת קבצים וספריות, ב- CentOS אתה יכול להשתמש בפקודה

setfacl -Rd -m o::5 -m g::7 /var/gitservertest

כמו כן במאמר אתה עלול להיתקל בדברים שימושיים קטנים:

• כיצד לבנות עץ ספריות בלינוקס
• כיצד להעביר טווח כתובות ב-sed משורה מסוימת לסוף הקובץ, כלומר לבצע החלפה ב-sed בכל השורות מלבד השורה הראשונה
• כיצד להפוך תנאי חיפוש ב-Linux find
• כיצד להעביר שורות מרובות ללולאה באמצעות one-liner במעטפת לינוקס
• איך לברוח ממרכאות בודדות ב-bash
• כיצד למחוק ספרייה עם כל התוכן שלה בשורת הפקודה של Windows
• כיצד להשתמש ב-bash mv כדי לשנות שם של קובץ מבלי לשכתב אותו שוב

תודה על תשומת הלב שלך.

מקור: www.habr.com