GIT 서버에 대한 다중 사용자 액세스 구성

Git 서버를 설치하고 구성할 때 여러 프로젝트에 대한 여러 사용자의 액세스를 구성하는 방법에 대한 의문이 생깁니다. 저는 문제를 조사한 결과 간단하고 안전하며 신뢰할 수 있다는 모든 요구 사항을 충족하는 솔루션을 찾았습니다.

내 소원은 다음과 같습니다.

• 각 사용자는 자신의 계정으로 연결됩니다.
• 여러 사용자가 하나의 프로젝트에서 작업할 수 있습니다.
• 동일한 사용자가 여러 프로젝트에서 작업할 수 있습니다.
• 각 사용자는 자신이 작업하는 프로젝트에만 접근할 수 있습니다.
• 일종의 웹 인터페이스뿐만 아니라 명령줄을 통해 연결이 가능해야 합니다.

그것은 또한 좋을 것이다:

• 통제하는 사람에게 읽기 전용 권한 부여
• Git에서 사용자 접근 권한을 편리하게 관리하세요

GIT 서버 액세스에 가능한 옵션 개요

우선 무엇을 선택할지 알아야 하므로 Git 프로토콜에 대한 간략한 개요는 다음과 같습니다.

• ssh - 특별히 생성된 사용자 계정을 사용하여 서버에 액세스합니다.
  • Git이 모든 저장소에 액세스하기 위해 하나의 계정을 사용하는 것을 권장 사항에서 제외하지 않는다는 것이 이상합니다. 이것은 내 요구 사항을 전혀 충족하지 않습니다.
  • 여러 계정을 사용할 수 있지만 특정 디렉터리에만 사용자 액세스를 제한하려면 어떻게 해야 합니까?
    • 홈 디렉토리를 닫는 것은 다른 사용자의 쓰기 액세스를 구성하기 어렵기 때문에 적합하지 않습니다.
    • Git이 심볼릭 링크를 링크로 해석하지 않기 때문에 홈 디렉터리에서 심볼릭 링크를 사용하는 것도 어렵습니다.
    • 통역사에 대한 액세스를 제한할 수 있지만 항상 작동한다는 보장은 없습니다.
      • 일반적으로 그러한 사용자를 위해 자체 명령 해석기를 연결할 수 있지만
        • 첫째, 이것은 이미 일종의 어려운 결정입니다.
        • 둘째, 이를 우회할 수 있습니다.

  하지만 사용자가 어떤 명령이든 실행할 수 있다는 것은 문제가 되지 않을까요?.. 일반적으로 이 방법의 사용법을 정확히 안다면 이 방법을 배제할 수 없습니다. 나중에 이 방법으로 돌아가겠지만 지금은 다른 대안을 간략하게 살펴보겠습니다. 어쩌면 더 간단한 것이 있을 수도 있습니다.

• git local 프로토콜은 sshfs와 결합하여 사용할 수 있으며, 여러 사용자를 사용할 수 있지만 기본적으로 이전 사례와 동일합니다.
• http - 읽기 전용
• git은 읽기 전용입니다
• https - 설치가 어렵고 추가 소프트웨어가 필요하며 사용자 액세스를 구성하기 위한 일종의 제어판이 필요합니다... 실행 가능해 보이지만 모든 것이 복잡합니다.

SSH 프로토콜을 사용하여 Git 서버에 대한 다중 사용자 액세스 구성

SSH 프로토콜로 돌아가 보겠습니다.

Git에서는 SSH 접속을 사용하므로 서버 데이터의 보안을 확보해야 합니다. SSH를 통해 연결하는 사용자는 Linux 서버에서 자신의 로그인을 사용하므로 SSH 클라이언트를 통해 연결하고 서버의 명령줄에 액세스할 수 있습니다.
그러한 액세스에 대한 완전한 보호는 없습니다.

그러나 사용자는 Linux 파일에 관심을 가져서는 안됩니다. 중요한 정보는 git 저장소에만 저장됩니다. 따라서 명령줄을 통해 액세스를 제한하지 않고 Linux 도구를 사용하여 사용자가 참여하는 프로젝트를 제외하고 프로젝트를 보는 것을 금지할 수 있습니다.
확실한 선택은 Linux 권한 시스템을 사용하는 것입니다.

이미 언급했듯이 SSH 액세스에는 하나의 계정만 사용할 수 있습니다. 이 구성은 권장되는 Git 옵션 목록에 포함되어 있지만 여러 사용자에게는 안전하지 않습니다.

기사 시작 부분에 제공된 요구 사항을 구현하기 위해 권한 및 소유자 할당을 통해 다음 디렉터리 구조가 생성됩니다.

1) 프로젝트 디렉토리

dir1(proj1:proj1,0770)
dir2(proj2:proj2,0770)
dir3(proj3:proj3,0770)
...
어디에서
dir1, dir2, dir3 - 프로젝트 디렉터리: 프로젝트 1, 프로젝트 2, 프로젝트 3.

proj1:proj1, proj2:proj2, proj3:proj3은 해당 프로젝트 디렉터리의 소유자로 할당된 특별히 생성된 Linux 사용자입니다.

모든 디렉토리에 대한 권한은 0770으로 설정됩니다. 소유자와 그의 그룹에 대한 전체 액세스 권한과 다른 모든 사람에 대한 완전한 금지입니다.

2) 개발자 계정

Разработчик 1: dev1:dev1,proj1,proj2
Разработчик 2: dev2:dev2,proj2,proj3

핵심은 개발자에게 해당 프로젝트의 시스템 사용자 소유자의 추가 그룹이 할당된다는 것입니다. 이는 Linux 서버 관리자가 하나의 명령으로 수행합니다.

이 예에서 "개발자 1"은 프로젝트 proj1 및 proj2에서 작업 중이고 "개발자 2"는 프로젝트 proj2 및 proj3에서 작업 중입니다.

개발자 중 누군가가 명령줄을 통해 ssh를 통해 연결하는 경우, 참여하지 않는 프로젝트 디렉터리의 내용을 보는 것조차 그들의 권한이 충분하지 않습니다. 그는 이것을 스스로 바꿀 수 없습니다.

이 원칙의 근간은 Linux 권리의 기본적인 보안이므로 이 방식은 신뢰할 수 있습니다. 또한 이 계획은 관리하기가 매우 쉽습니다.

연습하러 가자.

Linux 서버에서 Git 리포지토리 만들기

우리는 확인합니다.

[root@server ~]# cd /var/
[root@server var]# useradd gitowner
[root@server var]# mkdir gitservertest
[root@server var]# chown gitowner:gitowner gitservertest
[root@server var]# adduser proj1
[root@server var]# adduser proj2
[root@server var]# adduser proj3
[root@server var]# adduser dev1
[root@server var]# adduser dev2
[root@server var]# passwd dev1
[root@server var]# passwd dev2

손으로 타이핑하기 귀찮아서..

[root@server gitservertest]# sed "s/ /n/g" <<< "proj1 proj2 proj3" | while read u; do mkdir $u; chown $u:$u $u; chmod 0770 $u; done

[root@server gitservertest]# usermod -aG proj1 dev1
[root@server gitservertest]# usermod -aG proj2 dev1
[root@server gitservertest]# usermod -aG proj2 dev2
[root@server gitservertest]# usermod -aG proj3 dev2

우리는 명령줄에서 다른 사람의 저장소에 접근하는 것, 심지어 그 내용을 보는 것도 불가능하다고 확신합니다.

[dev1@server ~]$ cd /var/gitservertest/proj3
-bash: cd: /var/gitservertest/proj3: Permission denied
[dev1@server ~]$ ls /var/gitservertest/proj3
ls: cannot open directory /var/gitservertest/proj3: Permission denied

Git의 동일한 프로젝트에서 여러 개발자와 공동작업

한 가지 질문이 남아 있습니다. 한 개발자가 새 파일을 도입하면 다른 개발자는 해당 파일을 변경할 수 없습니다. 그 이유는 개발자 자신이 프로젝트의 사용자 소유자(예: proj1)가 아니라 해당 파일의 소유자(예: dev1)이기 때문입니다. 서버 측 저장소가 있으므로 먼저 ".git" 디렉터리가 어떻게 구성되어 있는지, 새 파일이 생성되는지 알아야 합니다.

로컬 Git 저장소 생성 및 Git 서버로 푸시

클라이언트 머신으로 넘어가겠습니다.

Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.

C:gittest>git init .
Initialized empty Git repository in C:/gittest/.git/

C:gittest>echo "test dev1 to proj2" > test1.txt

C:gittest>git add .

C:gittest>git status
On branch master
No commits yet
Changes to be committed:
  (use "git rm --cached <file>..." to unstage)
        new file:   test1.txt

C:gittest>git commit -am "new test file added"
[master (root-commit) a7ac614] new test file added
 1 file changed, 1 insertion(+)
 create mode 100644 test1.txt
 
C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>git push origin master
dev1:[email protected]'s password:
Counting objects: 3, done.
Writing objects: 100% (3/3), 243 bytes | 243.00 KiB/s, done.
Total 3 (delta 0), reused 0 (delta 0)
To ssh://10.1.1.11/var/gitservertest/proj2
 * [new branch]      master -> master

C:gittest>

동시에 서버에 새 파일이 생성되며 해당 파일은 푸시를 수행한 사용자에게 속합니다.

[dev1@server proj2]$ tree
.
├── 1.txt
├── branches
├── config
├── description
├── HEAD
├── hooks
│   ├── applypatch-msg.sample
│   ├── commit-msg.sample
│   ├── post-update.sample
│   ├── pre-applypatch.sample
│   ├── pre-commit.sample
│   ├── prepare-commit-msg.sample
│   ├── pre-push.sample
│   ├── pre-rebase.sample
│   └── update.sample
├── info
│   └── exclude
├── objects
│   ├── 75
│   │   └── dcd269e04852ce2f683b9eb41ecd6030c8c841
│   ├── a7
│   │   └── ac6148611e69b9a074f59a80f356e1e0c8be67
│   ├── f0
│   │   └── 82ea1186a491cd063925d0c2c4f1c056e32ac3
│   ├── info
│   └── pack
└── refs
    ├── heads
    │   └── master
    └── tags

12 directories, 18 files
[dev1@server proj2]$ ls -l objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
-r--r--r--. 1 dev1 dev1 54 Jun 20 14:34 objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
[dev1@server proj2]$

Git 서버에 변경 사항을 업로드하면 추가 파일과 디렉터리가 생성되고 해당 소유자는 실제로 업로드를 수행하는 사용자입니다. 그러나 이러한 파일 및 디렉터리 그룹은 이 사용자의 기본 그룹, 즉 dev1 사용자의 경우 dev1 그룹, dev2 사용자의 경우 dev2 그룹에도 해당합니다(개발자 사용자의 기본 그룹을 변경하는 것은 도움이 되지 않습니다. 그렇다면 어떻게 여러 프로젝트에서 작업할 수 있나요?). 이 경우 사용자 dev2는 사용자 dev1이 만든 파일을 변경할 수 없으므로 기능이 중단될 수 있습니다.

Linux chown - 일반 사용자가 파일 소유자 변경

파일 소유자는 소유권을 변경할 수 없습니다. 그러나 그는 자신에게 속한 파일의 그룹을 변경할 수 있으며, 그런 다음 동일한 그룹에 있는 다른 사용자가 이 파일을 수정할 수 있습니다. 그것이 우리에게 필요한 것입니다.

Git 후크 사용

Hook의 작업 디렉터리는 프로젝트의 루트 디렉터리입니다. 후크는 푸시를 수행하는 사용자 아래에서 실행되는 실행 파일입니다. 이것을 알면 우리는 계획을 실행할 수 있습니다.

[dev1@server proj2]$ mv hooks/post-update{.sample,}
[dev1@server proj2]$ sed -i '2,$ s/^/#/' hooks/post-update
[dev1@server proj2]$ cat <<< 'find . -group $(whoami) -exec chgrp proj2 '"'"'{}'"'"' ;' >> hooks/post-update

아니면 그냥

vi hooks/post-update

클라이언트 머신으로 돌아가 보겠습니다.

C:gittest>echo "dev1 3rd line" >> test1.txt

C:gittest>git commit -am "3rd from dev1, testing server hook"
[master b045e22] 3rd from dev1, testing server hook
 1 file changed, 1 insertion(+)

C:gittest>git push origin master
dev1:[email protected]'s password:
   d22c66e..b045e22  master -> master

Git 서버에서는 커밋 후 후크 업데이트 후 스크립트의 작동을 확인합니다.

[dev1@server proj2]$ find . ! -group proj2

- 비어 있고 모든 것이 괜찮습니다.

Git에서 두 번째 개발자 연결

두 번째 개발자의 작업을 시뮬레이션해 보겠습니다.

클라이언트에서

C:gittest>git remote remove origin

C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>echo "!!! dev2 added this" >> test1.txt

C:gittest>echo "!!! dev2 wrote" > test2.txt

C:gittest>git add test2.txt

C:gittest>git commit -am "dev2 added to test1 and created test2"
[master 55d49a6] dev2 added to test1 and created test2
 2 files changed, 2 insertions(+)
 create mode 100644 test2.txt

C:gittest>git push origin master
[email protected]'s password:
   b045e22..55d49a6  master -> master

동시에 서버에서도...

[dev1@server proj2]$ find . ! -group proj2

— 다시 비우면 모든 것이 작동합니다.

Git 프로젝트 삭제 및 Git 서버에서 프로젝트 다운로드

글쎄, 모든 변경 사항이 저장되었는지 다시 한 번 확인할 수 있습니다.

C:gittest>rd /S /Q .
Процесс не может получить доступ к файлу, так как этот файл занят другим процессом.

— Git 프로젝트를 삭제하려면 디렉터리를 완전히 지우면 됩니다. 이 명령을 사용하여 현재 디렉터리를 삭제할 수 없기 때문에 생성되는 오류를 참아보겠습니다. 그러나 이것이 바로 우리에게 필요한 동작입니다.

C:gittest>dir
 Содержимое папки C:gittest

21.06.2019  08:43    <DIR>          .
21.06.2019  08:43    <DIR>          ..

C:gittest>git clone ssh://[email protected]/var/gitservertest/proj2
Cloning into 'proj2'...
[email protected]'s password:

C:gittest>cd proj2

C:gittestproj2>dir
 Содержимое папки C:gittestproj2

21.06.2019  08:46    <DIR>          .
21.06.2019  08:46    <DIR>          ..
21.06.2019  08:46               114 test1.txt
21.06.2019  08:46                19 test2.txt
C:gittestproj2>type test1.txt
"test dev1 to proj2"
"dev1 added some omre"
"dev1 3rd line"
"!!! dev2 added this"

C:gittestproj2>type test2.txt
"!!! dev2 wrote"

Git에서 액세스 공유

이제 두 번째 개발자가 Git을 통해서도 자신이 작업하지 않는 Proj1 프로젝트에 액세스할 수 없도록 합시다.

C:gittestproj2>git remote remove origin

C:gittestproj2>git remote add origin "ssh://[email protected]/var/gitservertest/proj1"

C:gittestproj2>git push origin master
[email protected]'s password:
fatal: '/var/gitservertest/proj1' does not appear to be a git repository
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

이제 액세스를 허용합니다.

[root@server ~]# usermod -aG proj1 dev2

그 후에는 모든 것이 작동합니다.

C:gittestproj2>git push origin master
[email protected]'s password:
To ssh://10.1.1.11/var/gitservertest/proj1
 * [new branch]      master -> master

자세한 내용은,

또한 파일 및 디렉터리를 생성할 때 기본 권한에 문제가 있는 경우 CentOS에서 다음 명령을 사용할 수 있습니다.

setfacl -Rd -m o::5 -m g::7 /var/gitservertest

또한 기사에서 작은 유용한 것들을 우연히 발견할 수도 있습니다.

• Linux에서 디렉토리 트리를 만드는 방법
• sed의 주소 범위를 특정 줄부터 파일 끝까지 전달하는 방법, 즉 첫 번째 줄을 제외한 모든 줄을 sed에서 바꾸는 방법
• Linux find에서 검색 조건을 반전시키는 방법
• Linux 셸에서 단일 라이너를 사용하여 여러 줄을 루프에 전달하는 방법
• Bash에서 작은따옴표를 이스케이프 처리하는 방법
• Windows 명령줄에서 모든 내용이 포함된 디렉터리를 삭제하는 방법
• bash mv를 사용하여 파일을 다시 쓰지 않고 이름을 바꾸는 방법

관심을 가져 주셔서 감사합니다.

출처 : habr.com