Organisation av flermansåtkomst på GIT-servern

När man installerar och konfigurerar en Git-server uppstår frågan om hur man organiserar åtkomst för flera användare till flera projekt. Jag har undersökt ämnet och funnit en lösning som uppfyller alla mina krav: enkel, säker och tillförlitlig.

Mina önskemål är följande:

• varje användare ska logga in med sitt eget konto
• flera användare ska kunna arbeta med ett projekt
• samma användare ska kunna arbeta med flera projekt
• varje användare ska endast ha åtkomst till de projekt som de arbetar med
• det ska finnas möjlighet att ansluta via kommandoraden, och inte bara genom något webbgränssnitt

Det skulle också vara bra:

• att endast ge läsbehörighet för granskande personer
• att det ska vara enkelt att administrera användarbehörigheter i Git

Översikt över möjliga åtkomstalternativ på GIT-servern

Först och främst måste man veta vad man har att välja på, så här är en kort översikt över Git-protokoll.

• ssh - för åtkomst till servern används ett speciellt skapat användarkonto.
  • Det är märkligt att Git inte utesluter rekommendationen att använda ett konto för åtkomst till alla förråd. Detta motsvarar inte mina krav.
  • man kan använda flera konton, men hur begränsar man en användares åtkomst till vissa kataloger?
    • Att stänga in dem i hemkatalogen fungerar inte, eftersom det är svårt att ge andra användare skrivåtkomst där.
    • Att använda symboliska länkar från hemkatalogen är också komplicerat eftersom Git inte tolkar dem som länkar.
    • Att begränsa åtkomsten till tolkaren kan fungera, men det finns inga garantier för att det alltid fungerar.
      • Man kan faktiskt ansluta en egen kommandotolk för sådana användare, men
        • för det första, det blir en komplicerad lösning,
        • och för det andra, det kan kringgås.

  Men kanske är det inte ett problem att användaren kan köra vilka kommandon som helst? Därför kan vi inte utesluta denna metod om vi kan komma på hur den ska användas. Låt oss återkomma till den här metoden senare, och först titta på andra alternativ, kanske det finns något enklare där.

• Git lokalt protokoll kan användas i kombination med sshfs, flera användare kan användas, men i grund och botten är det samma som det tidigare fallet.
• HTTP — endast för läsning.
• Git — endast för läsning.
• HTTPS — svårt att installera, kräver ytterligare programvara, något. kontrollpanel För att organisera användartillgång... verkar genomförbart, men på något sätt är allt komplicerat.

Användning av ssh-protokollet för att organisera fleranvändartillgång till Git-servern.

Låt oss gå tillbaka till ssh-protokollet.

Eftersom åtkomst via ssh används för git, måste serverdata skyddas. Användaren som ansluter via ssh använder sin egen inloggning på servern Linux, så att han kan ansluta via ssh-klient och få tillgång till serverns kommandorad.
Det finns ingen fullständig skydd mot sådan åtkomst.

Men för användaren bör Linux-filer inte vara av intresse. Betydelsefull information lagras endast i git-repositoriet. Därför kan åtkomst via kommandoraden vara oreglerad, men med Linux-mekanismer förbjuda användaren att se projekt, utom de han deltar i.
Det är uppenbart att använda Linux behörighetssystem.

Som nämnts tidigare kan endast ett konto användas för ssh-åtkomst. Denna konfiguration är osäker för flera användare, även om denna metod finns med bland rekommenderade git-alternativ.

För att uppfylla kraven som nämndes i början av artikeln, skapas följande katalogstruktur med rättigheter och ägare:

1) projektkataloger

dir1(proj1:proj1,0770)
dir2(proj2:proj2,0770)
dir3(proj3:proj3,0770)
…
w
dir1, dir2, dir3 — projektkataloger: projekt 1, projekt 2, projekt 3.

proj1:proj1, proj2:proj2, proj3:proj3 — särskilt skapade Linux-användare som utses som ägare av motsvarande projektkataloger.

Rättigheterna på alla kataloger ställs in på 0770 — full åtkomst för ägaren och hans grupp och fullständig förbud för alla andra.

2) utvecklarkonton

Utvecklare 1: dev1:dev1,proj1,proj2
Utvecklare 2: dev2:dev2,proj2,proj3

En nyckelpunkten är att utvecklarna tilldelas en extra grupp av systemanvändaren-ägaren för motsvarande projekt. Detta görs av Linux-serveradministratören med ett enda kommando.

I det här exemplet arbetar "Utvecklare 1" med projekten proj1 och proj2, medan "Utvecklare 2" arbetar med projekten proj2 och proj3.

Om någon av utvecklarna ansluter via ssh genom kommandoraden, kommer deras rättigheter att vara otillräckliga även för att se innehållet i de projektmappar där de inte deltar. De kan inte ändra detta själva.

Eftersom grunden för denna princip är den grundläggande säkerheten i Linux-rättigheter är detta schema pålitligt. Dessutom är schemat mycket lätt att administrera.

Låt oss gå över till praktiken.

Skapa Git-repositorier på Linux-servern

Vi kontrollerar.

[root@server ~]# cd /var/
[root@server var]# useradd gitowner
[root@server var]# mkdir gitservertest
[root@server var]# chown gitowner:gitowner gitservertest
[root@server var]# adduser proj1
[root@server var]# adduser proj2
[root@server var]# adduser proj3
[root@server var]# adduser dev1
[root@server var]# adduser dev2
[root@server var]# passwd dev1
[root@server var]# passwd dev2

trött på att skriva för hand...

[root@server gitservertest]# sed "s/ /n/g" <<< "proj1 proj2 proj3" | while read u; do mkdir $u; chown $u:$u $u; chmod 0770 $u; done

[root@server gitservertest]# usermod -aG proj1 dev1
[root@server gitservertest]# usermod -aG proj2 dev1
[root@server gitservertest]# usermod -aG proj2 dev2
[root@server gitservertest]# usermod -aG proj3 dev2

Vi försäkrar oss om att det är omöjligt att få tillgång till andras repositories från kommandoraden och till och med att se deras innehåll.

[dev1@server ~]$ cd /var/gitservertest/proj3
-bash: cd: /var/gitservertest/proj3: Åtkomst nekad
[dev1@server ~]$ ls /var/gitservertest/proj3
ls: kan inte öppna katalogen /var/gitservertest/proj3: Åtkomst nekad

Samarbete i Git mellan flera utvecklare i ett enda projekt

Det återstår en fråga: om en utvecklare lägger till en ny fil, kan de andra utvecklarna inte ändra den eftersom de inte äger den (till exempel dev1) utan istället är användaren projektägaren (till exempel proj1). Eftersom vi har ett serverrepository, måste vi först veta hur katalogen " .git " fungerar och om nya filer skapas.

Skapa ett lokalt Git-repository och push till Git-servern

Låt oss gå till klientmaskinen.

Microsoft Windows [Version 6.1.7601]
(c) Microsoft Corporation, 2009. Alla rättigheter förbehålls.

C:gittest>git init .
Initierade ett tomt Git-repo i C:‍/gittest/.git/

C:gittest>echo "test dev1 to proj2" > test1.txt

C:gittest>git add .

C:gittest>git status
På branch master
Inga commits ännu
Ändringar som ska begås:
  (använd "git rm --cached <fil>..." för att ta bort i staging)
        ny fil:   test1.txt

C:gittest>git commit -am "ny testfil tillagd"
[master (root-commit) a7ac614] ny testfil tillagd
 1 fil ändrad, 1 insättning(+)
 skapa läge 100644 test1.txt
 
C:gittest>git remote add origin "ssh://dev1@10.1.1.11/var/gitservertest/proj2"

C:gittest>git push origin master
dev1:dev1@10.1.1.11's lösenord:
Räknar objekt: 3, klart.
Skriver objekt: 100% (3/3), 243 bytes | 243.00 KiB/s, klart.
Totalt 3 (delta 0), återanvänt 0 (delta 0)
Till ssh://10.1.1.11/var/gitservertest/proj2
 * [ny branch]      master -> master

C:gittest>

Samtidigt skapas nya filer på servern, och de tillhör användaren som gjorde push.

[dev1@server proj2]$ tree
.
├── 1.txt
├── branches
├── config
├── description
├── HEAD
├── hooks
│   ├── applypatch-msg.sample
│   ├── commit-msg.sample
│   ├── post-update.sample
│   ├── pre-applypatch.sample
│   ├── pre-commit.sample
│   ├── prepare-commit-msg.sample
│   ├── pre-push.sample
│   ├── pre-rebase.sample
│   └── update.sample
├── info
│   └── exclude
├── objects
│   ├── 75
│   │   └── dcd269e04852ce2f683b9eb41ecd6030c8c841
│   ├── a7
│   │   └── ac6148611e69b9a074f59a80f356e1e0c8be67
│   ├── f0
│   │   └── 82ea1186a491cd063925d0c2c4f1c056e32ac3
│   ├── info
│   └── pack
└── refs
    ├── heads
    │   └── master
    └── tags

12 kataloger, 18 filer
[dev1@server proj2]$ ls -l objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
-r--r--r--. 1 dev1 dev1 54 Jun 20 14:34 objects/75/dcd269e04852ce2f683b9eb41ecd6030c8c841
[dev1@server proj2]$

När ändringar laddas upp till servern skapas ytterligare filer och kataloger i Git, och deras ägare är faktiskt den användare som laddar upp. Men då motsvarar även gruppen för dessa filer och kataloger den primära gruppen för denna användare, det vill säga, gruppen dev1 för användaren dev1 och gruppen dev2 för användaren dev2 (att byta huvudgruppen för utvecklaranvändaren hjälper inte, eftersom hur skulle man då arbeta med flera projekt?). I så fall kan användaren dev2 inte ändra filer som skapats av användaren dev1, och detta kan leda till funktionsproblem.

Linux chown — ändra ägare av fil som en vanlig användare

Filens ägare kan inte ändra dess äganderätt. Men han kan ändra gruppen för filen, som tillhör honom, och då kan den filen bli tillgänglig för ändring av andra användare som finns i samma grupp. Det är precis vad vi behöver.

Använda Git hook

Arbetskatalogen för hook är projektets rotkatalog. Hook är en körbar fil som körs av användaren som gör push. Med denna vetskap kan vi genomföra det avsedda.

[dev1@server proj2]$ mv hooks/post-update{.sample,}
[dev1@server proj2]$ sed -i '2,$ s/^/#/' hooks/post-update
[dev1@server proj2]$ cat <<> hooks/post-update

eller bara

vi hooks/post-update

Låt oss återvända till klientmaskinen.

C:gittest>echo "dev1 3rd line" >> test1.txt

C:gittest>git commit -am "3rd from dev1, testing server hook"
[master b045e22] 3rd from dev1, testing server hook
 1 fil ändrad, 1 insättning(+)

C:gittest>git push origin master
dev1:dev1@10.1.1.11's password:
   d22c66e..b045e22 master -> master

På Git-servern kontrollerar vi efter commit att hook post-update-skriptet fungerar

[dev1@server proj2]$ find . ! -group proj2

— tomt, allt är okej.

Ansluta den andra utvecklaren i Git

Vi simulerar den andra utvecklarens arbete.

På klienten

C:gittest>git remote remove origin

C:gittest>git remote add origin "ssh://dev2@10.1.1.11/var/gitservertest/proj2"

C:gittest>echo "!!! dev2 added this" >> test1.txt

C:gittest>echo "!!! dev2 wrote" > test2.txt

C:gittest>git add test2.txt

C:gittest>git commit -am "dev2 added to test1 and created test2"
[master 55d49a6] dev2 added to test1 and created test2
 2 filer ändrade, 2 insättningar(+)
 skapa läge 100644 test2.txt

C:gittest>git push origin master
dev2@10.1.1.11's password:
   b045e22..55d49a6 master -> master

Och samtidigt, på servern…

[dev1@server proj2]$ find . ! -group proj2

— återigen tomt, allt fungerar.

Ta bort Git-projektet och ladda upp projektet från Git-servern

Vi kan ännu en gång bekräfta att alla ändringar har sparats.

C:gittest>rd /S /Q .
Processen kan inte få åtkomst till filen eftersom den är upptagen av en annan process.

— för att ta bort Git-projektet, raderar vi helt katalogen. Vi accepterar det visade felet eftersom det är omöjligt att ta bort den aktuella katalogen med detta kommando, men vi behöver just detta beteende.

C:gittest>dir
 Innehållet i mappen C:gittest

21.06.2019  08:43              .
21.06.2019  08:43              ..

C:gittest>git clone ssh://dev2@10.1.1.11/var/gitservertest/proj2
Klonar in i 'proj2'...
dev2@10.1.1.11's password:

C:gittest>cd proj2

C:gittestproj2>dir
 Innehållet i mappen C:gittestproj2

21.06.2019  08:46              .
21.06.2019  08:46              ..
21.06.2019  08:46               114 test1.txt
21.06.2019  08:46                19 test2.txt
C:gittestproj2>type test1.txt
"test dev1 to proj2"
"dev1 added some omre"
"dev1 3rd line"
"!!! dev2 added this"

C:gittestproj2>type test2.txt
"!!! dev2 wrote"

Separering av tillgång i Git

Nu kontrollerar vi att även genom Git kan den andra utvecklaren inte få åtkomst till projektet Proj1, som han inte arbetar med.

C:gittestproj2>git remote remove origin

C:gittestproj2>git remote add origin "ssh://dev2@10.1.1.11/var/gitservertest/proj1"

C:gittestproj2>git push origin master
dev2@10.1.1.11's password:
fatal: '/var/gitservertest/proj1' verkar inte vara ett git-repository
fatal: Kunde inte läsa från det fjärrrepositoryt.

Kontrollera att du har rätt åtkomsträttigheter
och att repositoryt finns.

Nu tillåter vi åtkomst

[root@server ~]# usermod -aG proj1 dev2

och efter det fungerar allt.

C:gittestproj2>git push origin master
dev2@10.1.1.11's password:
Till ssh://10.1.1.11/var/gitservertest/proj1
 * [new branch]      master -> master

Ytterligare information

Dessutom, om det finns problem med standardrättigheterna vid skapande av filer och kataloger, kan man i CentOS använda kommandot

setfacl -Rd -m o::5 -m g::7 /var/gitservertest

I artikeln kan du också stöta på små användbara saker:

• hur man skapar en katalogstruktur i Linux
• hur man i sed anger en adressintervall från en viss rad till slutet av filen, det vill säga, gör en ersättning i sed i alla rader förutom första raden
• Hur man i Linux finner upphäva sökvillkoret
• hur man i Linux-shell överför flera rader till en loop via en one-liner
• hur man i bash skyddar enkla citat
• hur man raderar en katalog med allt innehåll från kommandoraden i Windows
• Hur man med bash mv omdöper en fil utan att skriva över den

Tack för uppmärksamheten.

Källa: habr.com