いますぐ実践! Linuxシステム管理

[バックナンバーのトップへ] [Linux システム管理のトップへ]


いますぐ実践! Linux システム管理 / Vol.042 / 読者数:669名

こんばんは、うすだです。

我が家では、いっちょまえに、日経新聞を購読しています。

とはいえ、私の履歴書とか、日曜版の記事とか、 経済どっぷりな記事ではないところを、よく読んでいます。

で、最近気づいたのが、日曜版に掲載される、 キャリア募集の広告の大半が銀行である、という点です。

景気がよくなって株価が上がり、不良債権の目処がたってきたので、 ここらで人を雇っておくか、ということなのでしょうか。
あるいは、システム障害や個人情報保護法への対応に、 猫の手も借りたいくらい人手が足りてない、ということなのでしょうか。

…なんてことを思いながら、新聞を読んでいました。
普段は、あまり考えずに読むだけのことが多いのですが、 なぜこの記事が載っているのかとか、いろいろ考えながら読まないといけないなと、 ふと思った次第です。(もうすぐ36になりますし…。)

なんの脈絡もないですが、それでは今週も、はりきってまいりますよ!

今週のお題 - シェルの機能を限定する

システム管理者は、ユーザの利便性とシステムの堅牢性とのトレードオフに、 頭を抱える毎日を過ごされているのではないかと思います。

使用するのはユーザの方々ですから、使いやすいと思っていただける環境を、 できる限り提供したいと思うのが、システム管理者たるものでしょう。
しかしながら、想定外の使われ方をされて、 システムがえらいことになるという不則の事態も、避けたいものです。

ですので、システムを守るため、みなさんの安全を保証するために、 一部の荒くれものなユーザの方々に対して、若干我慢をしていただくことも、 場合によってはしかたのないことではないかと思います。

というわけで今週は、ある特定のユーザさんに、機能を制限されたシェルを、 使っていただこうと思います。

ご存知の方はご存知だと思いますが、太古の昔には、rsh という、 機能を制限したシェルが存在しました。(remote shell じゃない方です。)

現在の Linux の主要なディストリビューションには、rsh は存在しないようですが、 その代わりに、rbash が存在します。

お察しの通り、ベースは bash ですが、主に以下の制限があります。

  • cd できない(カレント・ディレクトリを変更できない)。
  • 環境変数 SHELL, PATH, ENV などを変更できない。
  • / を含むコマンドを実行できない。
  • リダイレクトできない。
  • exec できない。
  • . で / を含むシェル・スクリプトを実行できない。
  • …などなど (詳細は man をご覧ください)

こ、これは、屈辱的ともいえる制限を強いられそうですね…。

なにはともあれ、体験してみないことには始まりません。
早速、試してみましょう。

rbash は、bash を -r オプションつきで実行するか、自分の名前を rbash にすれば、 実行できます。
ですので、ここでは、後々のことを考えて、rbash を作成しておきます。
場所はどこでもよいですが、ここでは、 /usr/local/bin に作っておくことにしましょう。 (Debian には、rbash が存在します。)

  # ln -s /bin/bash /usr/local/bin/rbash 

そして、rbash を実行します。

  % rbash

実行したら、以下のように、各制限事項の確認をしてみましょう。

  % cd ..
  rbash: cd: restricted
  % export PATH="$PATH:/usr/sbin"
  rbash: PATH: readonly variable
  % /bin/ls
  rbash: /bin/ls: restricted: cannot specify `/' in command names
  % echo > a
  rbash: a: restricted: cannot redirect output
  % exec bash
  rbash: exec: restricted
  % . /tmp/a.sh
  rbash: .: /tmp/a.sh: restricted

トラウマになりそうなくらい、かたくなに拒否されました。

ただし、bash など、他のシェルを起動できてしまえば、制限がなくなってしまいます。 (それなりに重要ですので、記憶に留めておいてください。)

  % bash
  % cd ..
  % /bin/ls
  httpd/ test/ usu/

それでは、いよいよ、 ユーザのログインシェルを rbash にしてみたいと思います。
まず、お試し用に、test ユーザを作成します。(UID などは適当です。)

  # useradd -u 101 -g 100 -d /home/test -s /usr/local/bin/rbash test
  # passwd test

もし、新規に作成せず、既存のユーザに設定するのであれば、usermod を使用します。

  # usermod -s /usr/local/bin/rbash test

次に、他のシェルを起動されないように、PATH を限定します。
ここでは、/home/test/bin に、 実行を許可するコマンドのシンボリック・リンクを置き、 PATH を /home/test/bin だけにしたいと思います。
ここでは、/bin にあるコマンドのシンボリック・リンクを作成します。

  # mkdir /home/test/bin
  # cd /home/test/bin
  # for file in /bin/*; do ln -s $file; done

おっと、シェルのシンボリック・リンクは、削除しておきます。

  # rm *sh ash* bash*

そして、余計な設定をなくし、PATH の設定を行います。

  # rm /home/test/.bash*
  # echo 'export PATH="$HOME/bin"' > /home/test/.bash_profile

以上で、test ユーザさんは、不便な環境下におかれることになります。
test ユーザさんでログインして、不便さを味わってみてください。

さて、若干の捕捉事項があります。

まず、rbash をログインシェルにしていると、このままでは ftp ができません。 /etc/shells に、rbash を追加してください。
(chsh できるようにするためにも、必要なようです。 ただ、自らすすんで rbash を使う、なんていう方はいらっしゃらないと思いますが…。)

それから、VineLinux 3.2 では、ls が実行できませんでした。
/etc/profile.d/colorls.sh で、 /bin/ls と明記されているためではないかと思われます。
これを回避するために、/home/test/.dircolors を作成します。

  # echo "COLOR none" > /home/test/.dircolors

以上、rbash の設定方法などについて、ご紹介しました。

くれぐれも、ユーザさんが納得された上で、あるいは絶対的な権限を得た上で、 導入するようにしていただければと思います。
ただ、全く許可されないより、たとえ制限つきでもシェルを使える方が、 ユーザさんにとっては便利だ、という考え方もできると思います。

宿題の答え

先週の宿題は、

  エイリアスファイルにメンバを直接記述するより、別のファイルを使用
  した方がよい理由を、考えてみましょう。

でした。

理由というよりも、どういうときにファイルを分けると、 管理しやすいかということを、考えてみました。

  • メンバの入れ替わり頻度がそれなりにあるとき。
    その都度 /etc/aliases を編集して newaliases を実行するのは、やや骨が折れます。
  • スーパーユーザになれないひとが管理者であるとき。
    /etc/aliases を変更する権限を持っていないひとが、 メンバの変更などを行う場合には、必須だと思います。
  • メンバ数が多いとき。
    見た目の問題だけかもしれませんが…。

逆に、メンバ数が少なくて入れ替わる可能性が低い場合は、 /etc/aliases に直接記述した方が、楽ではないかと思います。

今週の宿題

今週の宿題は、

  ログインシェルが rbash の場合に、制限を解除する方法を、考えてみて
  ください

です。

前述の通り、別のシェルを起動できれば、制限を解除できます。

条件が揃わない無理っぽいですが、 いくつかの可能性が考えられるのではないかと思います。

あとがき

実は、今、昨年末で一段落するはずの仕事に、どっぷりはまっています。

とあるボードに Linux を載せようとしているのですが、わかんないことだらけで、 灰色の脳細胞がてんやわんやしています。
今、あちこちでつまづいては、ヘコんでいます。

しかし、今までブラックボックスとして扱っていたところの中を、 ひとつひとつ追っかけて理解する、ということを地道にやっていますので、 いい勉強になります。

初期化のところはこうなっていたのかとか、 BogoMIPS の計測はこうやっていたのかなど、 わからなかったことや知らなかったことが解消されると、 すかっとした爽快感を味わえます。

やはり、ソースコードを読んで中身を理解したり、 ある程度の動作を推測できるようになる必要が、いつかは生じる、 ということでしょうか。
しかし、ひとの書いたソースコードを読むと、勉強になりますが、 期間が限られているときは、どうしても焦ってしまいますね。

そんな感じですので、来週は…いやいや、休みクセがついてしまうといけませんので、 来週もなんとか発行しようと思っています。
しかし、もし万が一発行されなかったら、燃え尽きて灰になったんだなぁと思って、 再来週まで待っていただけますと、幸いです。(-ε-;;

今週も、ここまで読んでいただき、ありがとうございました。
それでは、また来週、お会いしましょう!

「いますぐ実践! Linux システム管理」の解除は、以下からどうぞ。
http://www.usupi.org/sysad/ (まぐまぐ ID:149633)

バックナンバーは、こちらにほぼ全部そろっています。
http://www.usupi.org/sysad/backno.html

「栗日記」−技術屋のくせに、毎日栗の絵を描いています。
http://www.usupi.org/kuri/ (まぐまぐ ID:126454)


[バックナンバーのトップへ] [Linux システム管理のトップへ]

トップ

バックナンバー
    [日付順] [目的別]

プロフィール

▼ リンク

独学Linux
Linuxデスクトップ環境に関する情報が満載です。 メルマガもありますよ。
Server World
CentOS 6をサーバとしたときの設定例が、これでもかというくらいたくさん載っています。 CentOS以外のディストリビューション(Fedora, Ubuntu)も充実しています。
LINUXで自宅サーバーを構築・導入(Fedora9)
Fedora9のインストールの仕方から管理方法まで、詳しく載っています。 SearchManには情報がもりだくさんです。
マロンくん.NET
〜サーバ管理者への道〜
Linuxをサーバとして使用するための、いろいろな設定方法が載っています。 マロンくんもかわいいです。 なんといっても、マロンくんという名前がいいですね!!
日経Linux
今や数少なくなってしまったLinuxの雑誌。ニュースやガイドもあります。
Linux Square − @IT
@ITが提供する、Linux の情報が満載。 載っていない設定方法はないんじゃないでしょうか。
gihyo.jp…技術評論社
Linuxに限らず様々な技術情報が満載のサイト。 SoftwareDesign誌も、 ソフトウェア技術者は必見です。
SourceForge.JP Magazine
Linux に限らず、オープンソース関連の記事が網羅されています。
ITmediaエンタープライズ:Linux Tips 一覧
Tips というより FAQ 集でしょうか。わからないことがあれば覗きましょう。
IBM developerWorks : Linux
開発者向けですが、勉強になりますよ。
Yahoo!ニュース - Linux
Yahoo!のLinuxに関するニュース一覧です。
栗日記
システム管理とかと全然関係ありませんが、毎日栗の絵を描いています。
システム管理につかれちゃったとき、癒されたいときに、ご覧ください。:-)
WEB RANKING - PC関連
ランキングに参加してみました。押してやってください。

▼ 作ってみました

Add to Google

▼ せんでん




▼ 最近読んだ本

▼ 気に入ってる本