Droit d'acces en lecture complet utilisateur autre que root

Support Debian
#1

Bonjour,

Pour la mise en place d’un serveur de sauvegarde sous dirvish, j’accede au serveur a sauvegardé via ssh avec un utilisateur backup. Y at’il une solution pour que celui ci ai la possibilité de parcourir l’ensemble du serveur en lecture? sans le mettre dans tous les groupes present.
La raison est qu’il n’y a pas d’acces ssh pour root, et que je voudrais essayé d’eviter de changer cela.

merci a celui qui aurait une idée

Cédric

#2

Tu ne peux pas accéder au serveur en ssh en tant que cet utilisateur ?
Ensuite, pour les fichiers lisibles uniquement par root, une fois ton utilisateur connecté, tu te logues en tant que root avec ‘su -’

Si ce n’est pas ça, sois plus explicite.

#3

Bonjour,

en sois, dirvish effectue un rsync. donc dirvish se connecte sur le serveur a sauvegarder en ssh:

la connexion est faite par clée (c’est une action effectuée en cron). le probleme c’est que backup n’a pas les droits de lecture sur grand nombre de dossier/fichiers.
Je n’ai pas, a priori, la possibilité de faire un sudo par le script. Encore que je vais regarder si je peux pas mettre cela dans un script lancé avant le rsync, mais je doute.

merci pour cette piste…

#4

Salut,

Ricardo t’a suggéré SU - pas SUDO pour lequel il faut modifier /etc/sudoers et que sudo soit installé sur ta machine, ce qui n’est pas une obligation si ce n’est pas sous xBUNTU :slightly_smiling:

#5

[quote=“cedge”]Bonjour,

en sois, dirvish effectue un rsync. donc dirvish se connecte sur le serveur a sauvegarder en ssh:

la connexion est faite par clée (c’est une action effectuée en cron). le probleme c’est que backup n’a pas les droits de lecture sur grand nombre de dossier/fichiers.
Je n’ai pas, a priori, la possibilité de faire un sudo par le script. Encore que je vais regarder si je peux pas mettre cela dans un script lancé avant le rsync, mais je doute.

merci pour cette piste…[/quote]
Je ne connais pas dirvish mais quand tu fais (quand le cron fait)
ssh backup@IP_du_serveur
"backup" est ptet considéré comme un utilisateur, non ?
Sinon, il est quand même pratique, moi je dirais indispensable, qu’un user ait accès au serveur.
Tu crées un utilisateur avec un nom très complexe et un pass très complexe et même sous clefs, ça fonctionne parfaitement. C’est ainsi chez moi et chez beaucoup d’autres.

#6

Je crois que son problème est que l’utilisateur backup ne peut pas lire tous les fichiers, et donc pas les sauvegarder.

Je ne vois pas d’autre solution que d’utiliser le compte root pour les backup. Pour limiter son accès SSH aux backups, tu peux :

  • restreindre une clé SSH donnée ; par exemple, en mettant dans /root/.ssh/authorized_keys :

la clé concernée ne pourra être utilisée qu’à partir du serveur de backup et utiliser seulement la commande rsync.
Pour plus de détails, voir la section « AUTHORIZED_KEYS FILE FORMAT » de man sshd.

  • mettre PermitRootLogin à « without-password » ou « forced-commands-only » pour que root ne puisse se connecter en ssh qu’avec cette clé.
#7

[quote=“kna”]Je crois que son problème est que l’utilisateur backup ne peut pas lire tous les fichiers, et donc pas les sauvegarder.

Je ne vois pas d’autre solution que d’utiliser le compte root pour les backup. Pour limiter son accès SSH aux backups, tu peux :

  • restreindre une clé SSH donnée ; par exemple, en mettant dans /root/.ssh/authorized_keys :

la clé concernée ne pourra être utilisée qu’à partir du serveur de backup et utiliser seulement la commande rsync.
Pour plus de détails, voir la section « AUTHORIZED_KEYS FILE FORMAT » de man sshd.

  • mettre PermitRootLogin à « without-password » ou « forced-commands-only » pour que root ne puisse se connecter en ssh qu’avec cette clé.[/quote]
    Pas un peu dangereux, ça ?
    À moins de n’être relié qu’en LAN ou ne faire le backup que déconnecté d’internet mais un serveur ???
#8

Bonjour,

kna a compris mon probleme, backup est un utilisateur mais n’a pas le droit de lecture sur les repertoires des autres utilisateur (dont root pour les log, config,…)

Je pensais bien que la solution n’existait pas de facon facile(je croyais naïvement qu’un utilisateur dans le groupe root avait ce droit…) , j’ai donc déja demandé a root de s’occupé du backup en donnant l’acces ssh a root (ce que je ne fais normalement pas) par contre, les solutions de kna me semblent intéressantes.

without-password permet d’interdire root a se connecter via un password, il ne peut qu’utiliser une clée, c’est bien! Ricardo souleves tu un probleme que je ne vois pas, ou as tu compris qu’il pouvait se connecter sans password?

Merci pour votre aide, désolé de ne pas avoir été tres compréhensible sur mon probleme…

bav

cedric

#9

pour interdire l’autentification par mot de passe il faut :
PasswordAuthentication a no.
et verifier même si normalement c’est par default que :
PubkeyAuthentication a yes

perso, moi je supprime tous les autres modes d’authentification.
xxxxxxAuthentication a no