Организација вишекорисничког приступа ГИТ серверу

Приликом инсталирања и конфигурисања Гит сервера поставља се питање организовања приступа за више корисника на неколико пројеката. Истражио сам проблем и нашао решење које је испунило све моје захтеве: једноставно, безбедно, поуздано.

Моје жеље су:

• сваки корисник се повезује са сопственим налогом
• На једном пројекту може радити више корисника
• исти корисник може радити на више пројеката
• сваки корисник има приступ само оним пројектима на којима ради
• Требало би да буде могуће повезивање преко командне линије, а не само преко неке врсте веб интерфејса

Такође би било сјајно:

• дајте дозволе само за читање особама које контролишу
• Погодно управљајте правима приступа корисника у Гиту

Преглед могућих опција за приступ ГИТ серверу

Пре свега, морате да знате шта да изаберете, па ево кратког прегледа Гит протокола.

• ссх - за приступ серверу се користи посебно креиран кориснички налог.
  • Чудно је да Гит не искључује из својих препорука коришћење једног налога за приступ свим репозиторијумима. Ово уопште не испуњава моје захтеве.
  • Можете користити више налога, али како можете ограничити приступ корисника само одређеним директоријумима?
    • Затварање у кућни директоријум није прикладно, јер је тешко организовати приступ писању тамо за друге кориснике
    • Коришћење симболичних веза из вашег матичног директоријума је такође тешко јер их Гит не тумачи као везе
    • Могуће је ограничити приступ тумачу, али не постоји пуна гаранција да ће увек радити
      • Генерално можете да повежете сопствени интерпретатор команди за такве кориснике, али
        • прво, ово је већ нека врста тешке одлуке,
        • и друго, ово се може заобићи.

  Али можда није проблем што ће корисник моћи да изврши било коју команду?.. Генерално, овај метод се не може искључити ако се тачно схвати како да га користи. Касније ћемо се вратити на ову методу, али за сада ћемо укратко размотрити друге алтернативе, можда ће бити нешто једноставније.

• Локални гит протокол се може користити у комбинацији са ссхфс-ом, може се користити више корисника, али у суштини исто као у претходном случају
• хттп - само за читање
• гит је само за читање
• хттпс - тешко се инсталира, потребан вам је додатни софтвер, нека врста контролне табле за организовање приступа корисника... изгледа изводљиво, али некако је све компликовано.

Коришћење ссх протокола за организовање вишекорисничког приступа Гит серверу

Вратимо се на ссх протокол.

Пошто користите ссх приступ за гит, морате осигурати сигурност података сервера. Корисник који се повезује преко ссх-а користи сопствену пријаву на Линук серверу, тако да се може повезати преко ссх клијента и приступити командној линији сервера.
Не постоји потпуна заштита од таквог приступа.

Али корисника не би требало да занимају Линук датотеке. Значајне информације се чувају само у гит спремишту. Због тога је могуће не ограничавати приступ преко командне линије, већ коришћењем Линук алата забранити кориснику да гледа пројекте, искључујући оне у којима учествује.
Очигледан избор је коришћење Линук система дозвола.

Као што је већ поменуто, могуће је користити само један налог за ссх приступ. Ова конфигурација није безбедна за неколико корисника, иако је укључена у листу препоручених гит опција.

Да би се имплементирали захтеви дати на почетку чланка, креирана је следећа структура именика са доделом права и власника:

1) именици пројеката

дир1(прој1:прој1,0770)
дир2(прој2:прој2,0770)
дир3(прој3:прој3,0770)
...
где
дир1, дир2, дир3 - директоријуми пројекта: пројекат 1, пројекат 2, пројекат 3.

прој1:прој1, прој2:прој2, прој3:прој3 су посебно креирани Линук корисници који су додељени као власници одговарајућих директоријума пројекта.

дозволе за све директоријуме су постављене на 0770 - пун приступ за власника и његову групу и потпуна забрана за све остале.

2) налози програмера

Разработчик 1: dev1:dev1,proj1,proj2
Разработчик 2: dev2:dev2,proj2,proj3

Кључна ствар је да се програмерима додељује додатна група корисника система, власника одговарајућег пројекта. Ово ради администратор Линук сервера једном командом.

У овом примеру, „Програмер 1“ ради на пројектима прој1 и прој2, а „Девелопер 2“ ради на пројектима прој2 и прој3.

Ако се неко од Програмера повеже преко ссх-а преко командне линије, онда његова права неће бити довољна чак ни за преглед садржаја директоријума пројеката у којима не учествују. Он то не може сам да промени.

Пошто је основа овог принципа основна сигурност Линук права, ова шема је поуздана. Поред тога, шема је веома лака за администрацију.

Хајде да вежбамо.

Креирање Гит спремишта на Линук серверу

Проверавамо.

[root@server ~]# cd /var/
[root@server var]# useradd gitowner
[root@server var]# mkdir gitservertest
[root@server var]# chown gitowner:gitowner gitservertest
[root@server var]# adduser proj1
[root@server var]# adduser proj2
[root@server var]# adduser proj3
[root@server var]# adduser dev1
[root@server var]# adduser dev2
[root@server var]# passwd dev1
[root@server var]# passwd dev2

Уморан сам од куцања руком...

[root@server gitservertest]# sed "s/ /n/g" <<< "proj1 proj2 proj3" | while read u; do mkdir $u; chown $u:$u $u; chmod 0770 $u; done

[root@server gitservertest]# usermod -aG proj1 dev1
[root@server gitservertest]# usermod -aG proj2 dev1
[root@server gitservertest]# usermod -aG proj2 dev2
[root@server gitservertest]# usermod -aG proj3 dev2

Уверени смо да је немогуће приступити туђим репозиторијумима из командне линије, па чак ни прегледати њихов садржај.

[dev1@server ~]$ cd /var/gitservertest/proj3
-bash: cd: /var/gitservertest/proj3: Permission denied
[dev1@server ~]$ ls /var/gitservertest/proj3
ls: cannot open directory /var/gitservertest/proj3: Permission denied

Сарађујте са више програмера на истом пројекту у Гиту

Остаје једно питање, ако један програмер уведе нову датотеку, онда други програмери не могу да је промене, јер је он сам њен власник (на пример, дев1), а не корисник-власник пројекта (на пример, прој1). Пошто имамо складиште на страни сервера, пре свега, морамо да знамо како је структуриран директоријум „.гит“ и да ли се креирају нове датотеке.

Креирање локалног Гит спремишта и гурање на Гит сервер

Пређимо на клијентску машину.

Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.

C:gittest>git init .
Initialized empty Git repository in C:/gittest/.git/

C:gittest>echo "test dev1 to proj2" > test1.txt

C:gittest>git add .

C:gittest>git status
On branch master
No commits yet
Changes to be committed:
  (use "git rm --cached <file>..." to unstage)
        new file:   test1.txt

C:gittest>git commit -am "new test file added"
[master (root-commit) a7ac614] new test file added
 1 file changed, 1 insertion(+)
 create mode 100644 test1.txt
 
C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>git push origin master
dev1:[email protected]'s password:
Counting objects: 3, done.
Writing objects: 100% (3/3), 243 bytes | 243.00 KiB/s, done.
Total 3 (delta 0), reused 0 (delta 0)
To ssh://10.1.1.11/var/gitservertest/proj2
 * [new branch]      master -> master

C:gittest>

Истовремено, на серверу се креирају нови фајлови, који припадају кориснику који је извршио пусх

[dev1@server proj2]$ tree
.
├── 1.txt
├── branches
├── config
├── description
├── HEAD
├── hooks
│   ├── applypatch-msg.sample
│   ├── commit-msg.sample
│   ├── post-update.sample
│   ├── pre-applypatch.sample
│   ├── pre-commit.sample
│   ├── prepare-commit-msg.sample
│   ├── pre-push.sample
│   ├── pre-rebase.sample
│   └── update.sample
├── info
│   └── exclude
├── objects
│   ├── 75
│   │   └── dcd269e04852ce2f683b9eb41ecd6030c8c841
│   ├── a7
│   │   └── ac6148611e69b9a074f59a80f356e1e0c8be67
│   ├── f0
│   │   └── 82ea1186a491cd063925d0c2c4f1c056e32ac3
│   ├── info
│   └── pack
└── refs
    ├── heads
    │   └── master
    └── tags

12 directories, 18 files
[dev1@server proj2]$ ls -l objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
-r--r--r--. 1 dev1 dev1 54 Jun 20 14:34 objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
[dev1@server proj2]$

Када отпремите промене на Гит сервер, креирају се додатне датотеке и директоријуми, а њихов власник је заправо корисник који врши отпремање. Али тада група ових датотека и директоријума такође одговара главној групи овог корисника, односно групи дев1 за дев1 корисника и дев2 групи за дев2 корисника (промена главне групе корисника програмера неће помоћи, јер како онда можете радити на више пројеката?). У овом случају, корисник дев2 неће моћи да мења датотеке које је креирао корисник дев1, што би могло довести до квара у функционалности.

Линук цховн - промена власника датотеке од стране обичног корисника

Власник датотеке не може да промени њено власништво. Али он може да промени групу фајла који му припада, а онда овај фајл могу да мењају други корисници који су у истој групи. То је оно што нам треба.

Коришћење Гит куке

Радни директоријум за куку је основни директоријум пројекта. хоок је извршни фајл који се покреће под корисником који врши притисак. Знајући ово, можемо спровести наше планове.

[dev1@server proj2]$ mv hooks/post-update{.sample,}
[dev1@server proj2]$ sed -i '2,$ s/^/#/' hooks/post-update
[dev1@server proj2]$ cat <<< 'find . -group $(whoami) -exec chgrp proj2 '"'"'{}'"'"' ;' >> hooks/post-update

било само

vi hooks/post-update

Вратимо се на клијентску машину.

C:gittest>echo "dev1 3rd line" >> test1.txt

C:gittest>git commit -am "3rd from dev1, testing server hook"
[master b045e22] 3rd from dev1, testing server hook
 1 file changed, 1 insertion(+)

C:gittest>git push origin master
dev1:[email protected]'s password:
   d22c66e..b045e22  master -> master

На Гит серверу проверавамо рад скрипте закачивања након ажурирања након урезивања

[dev1@server proj2]$ find . ! -group proj2

- празно, све је у реду.

Повезивање другог програмера у Гиту

Хајде да симулирамо рад другог програмера.

На клијенту

C:gittest>git remote remove origin

C:gittest>git remote add origin "ssh://[email protected]/var/gitservertest/proj2"

C:gittest>echo "!!! dev2 added this" >> test1.txt

C:gittest>echo "!!! dev2 wrote" > test2.txt

C:gittest>git add test2.txt

C:gittest>git commit -am "dev2 added to test1 and created test2"
[master 55d49a6] dev2 added to test1 and created test2
 2 files changed, 2 insertions(+)
 create mode 100644 test2.txt

C:gittest>git push origin master
[email protected]'s password:
   b045e22..55d49a6  master -> master

И у исто време, на серверу...

[dev1@server proj2]$ find . ! -group proj2

— опет празно, све ради.

Брисање Гит пројекта и преузимање пројекта са Гит сервера

Па, можете се још једном уверити да су све промене сачуване.

C:gittest>rd /S /Q .
Процесс не может получить доступ к файлу, так как этот файл занят другим процессом.

— да бисте избрисали Гит пројекат, једноставно потпуно обришите директоријум. Хајде да се помиримо са грешком која се генерише, пошто је немогуће обрисати тренутни директоријум овом командом, али је управо такво понашање потребно.

C:gittest>dir
 Содержимое папки C:gittest

21.06.2019  08:43    <DIR>          .
21.06.2019  08:43    <DIR>          ..

C:gittest>git clone ssh://[email protected]/var/gitservertest/proj2
Cloning into 'proj2'...
[email protected]'s password:

C:gittest>cd proj2

C:gittestproj2>dir
 Содержимое папки C:gittestproj2

21.06.2019  08:46    <DIR>          .
21.06.2019  08:46    <DIR>          ..
21.06.2019  08:46               114 test1.txt
21.06.2019  08:46                19 test2.txt
C:gittestproj2>type test1.txt
"test dev1 to proj2"
"dev1 added some omre"
"dev1 3rd line"
"!!! dev2 added this"

C:gittestproj2>type test2.txt
"!!! dev2 wrote"

Дељење приступа у Гиту

Сада хајде да се уверимо да чак и преко Гита други програмер не може да приступи пројекту Прој1, на којем не ради.

C:gittestproj2>git remote remove origin

C:gittestproj2>git remote add origin "ssh://[email protected]/var/gitservertest/proj1"

C:gittestproj2>git push origin master
[email protected]'s password:
fatal: '/var/gitservertest/proj1' does not appear to be a git repository
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

Сада дозвољавамо приступ

[root@server ~]# usermod -aG proj1 dev2

а после тога све ради.

C:gittestproj2>git push origin master
[email protected]'s password:
To ssh://10.1.1.11/var/gitservertest/proj1
 * [new branch]      master -> master

За више информација,

Поред тога, ако постоји проблем са подразумеваним дозволама приликом креирања датотека и директоријума, у ЦентОС-у можете користити команду

setfacl -Rd -m o::5 -m g::7 /var/gitservertest

Такође у чланку можете наићи на мале корисне ствари:

• како направити стабло директоријума у ​​Линуку
• како проследити опсег адреса у сед од одређене линије до краја датотеке, односно направити замену у сед у свим редовима осим у првом реду
• Како да инвертујете услов претраге у Линук финд
• Како пренети више редова у петљу користећи једнолинер у Линук љусци
• Како избећи појединачне наводнике у басх-у
• како да избришете директоријум са свим његовим садржајем у командној линији Виндовс
• Како користити басх мв за преименовање датотеке без поновног писања

Хвала вам на пажњи.

Извор: ввв.хабр.цом