3

Есть две машины - разработчика и сервер. На сервере заведен пользователь git. Под этим юзером установлен gitolite. Заведен пользователь web, на этом же сервере. Пользователь git входит в группу git и web. Пользователь web состоит в группе web. В папке /home/web/.ssh лежит файл config в котором прописаны настройки для ssh. У этого файла права - 600, иначе невозможно например сделать git clone [email protected] Когда разработчик делает push в git@сервер, на сервере отрабатывает hook, hooks/post-receive, который должен протолкнуть изменения в /home/web/project:

cd /home/web/project/

git pull origin master

Но тут вылазит ошибка - bad permissins для файла config. То что пользователи git и web входят в одну группу - без разницы, права 600 /home/.ssh/config позволяют читать этот файл только пользователю web. А если сменить их то перестает работать ssh:

Because of the potential for abuse, this file must have strict permissions: read/write for the user, and not writable by others. It may be group-writable provided that the group in question contains only the user.

Я не совсем понимаю в линуксе. Подскажите как решить проблему?

6
  • 'cd /home/web/project/ git pull origin master' - что это, две команды или одна?
    – 0xdb
    5 ноя 2016 в 23:07
  • две команды, не перенес
    – egorrrr
    6 ноя 2016 в 7:21
  • Поробуйте - ssh -T git@<gitserver> - сервер задайте как в git clone.
    – 0xdb
    6 ноя 2016 в 9:17
  • права 600 /home/.ssh/config - а это что за папочка?
    – 0xdb
    6 ноя 2016 в 9:25
  • Это не папка а файл с настройками для ssh: Host gitbox User git Hostname example.com Port 22 IdentityFile ~/.ssh/key
    – egorrrr
    6 ноя 2016 в 21:40

2 ответа 2

3

У вас повидимому не сконфигурирован доступ по ssh для git пользователя. Посмотрите - ls -la /home/git/.ssh. Как git пользователь поставьте там необходимые права:

cd; chmod 700 .ssh/; chmod 600 .ssh/config .ssh/id_rsa 

ssh -T git@<gitserver> 

Если всё хорошо, то - git pull - тоже должен работать.

Здесь я нашёл небольшую дискуссию по вашей тематике.

2
  • возможно вы правы, я только сейчас задумался что нужно положить ключ в папку /home/git/.ssh для доступа по ssh к web, я раньше думал что связь односторонняя ведь web делает clone,pull,push а git только отдает и принимает, хотя скорее всего чтоб отработал хук с git на web тоже нужен ключ
    – egorrrr
    6 ноя 2016 в 20:35
  • Спасибо за помощь, все так сделал, работает
    – egorrrr
    8 ноя 2016 в 9:28
0

фактически вам надо выполнить набор команд от имени другого пользователя. в unix-подобных операционных системах общепринятой практикой в таких случаях является использование программы sudo.

  1. поместите необходимые команды в файл, расположив его в наиболее подходящем для подобных скриптов месте — каталоге /usr/local/bin:

    $ echo 'cd /home/web/project/ && git pull origin master' | sudo tee /usr/local/bin/произвольное.имя
    
  2. добавьте ему биты исполнимости:

    $ sudo chmod +x /urs/local/bin/произвольное.имя
    
  3. разрешите пользователю git исполнять этот файл от имени пользователя web без подтверждения паролем. для этого запустите редактирование файла в каталоге /etc/sudoers.d (имя файла произвольное, но не должно содержать точки):

    $ sudo visudo /etc/sudoers.d/allow-git-run-command-as-web
    

    вставьте в него строку:

    git ALL=(web) NOPASSWD: /usr/local/bin/произвольное.имя
    

    сохраните и закройте редактор. благодаря тому, что редактор был запущен через «обёртку» visudo, после этого будет произведён синтаксический анализ ваших изменений и, если есть ошибки, будет предложено внести изменения или отказаться от редактирования вообще. это полезно, т.к. в случае ошибок в конфигурации программа sudo вообще откажется работать и вы даже не сможете эти ошибки исправить.

теперь в hooks/post-receive вы можете поместить вызов скрипта:

sudo -u web /usr/local/bin/произвольное.имя
9
  • Не проще ли просто ssh web@server 'набор команд'?
    – 0xdb
    6 ноя 2016 в 11:44
  • @0xdb, 1. если и проще, то ненамного. 2. менее безопасно — даёт пользователю git возможность выполнения любой команды от имени пользователя web. 6 ноя 2016 в 12:23
  • это конечно правильно, но п.2 с помощью command="gitpull.sh" в ключах web тоже поправимо.
    – 0xdb
    6 ноя 2016 в 12:56
  • @0xdb, т.е., получаем явно более сложное решение. вот и ответ на ваш вопрос из первого комментария. 6 ноя 2016 в 13:00
  • @0xdb, стоит также отметить, что вариант с ssh будет и менее универсален. например, он не подойдёт в случае, если полноценная оболочка пользователю web не предоставляется. 6 ноя 2016 в 13:03

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.