CentOS7でscpなchrootの環境をつくる

CentOS7でのchrootの設定手順をまとめました。

sftpの設定はらくらく出来たのですが、
scpの設定にドはまりしてしまい大いに時間をかけてしまいました。

同じようにchrootでscpの設定を行う人がスムーズに作業ができればいいなと思います。

事前準備

この例ではscpでの接続のみ許可します。
chrootのユーザーには公開鍵認証で接続することとします。

• 事前にchroot接続用のユーザーを作成しておく
• 事前に公開鍵をchrootのユーザーのホームディレクトリに配置しておく
• chrootユーザーの環境定義スクリプトを配置する

chrootユーザー環境定義スクリプト

以下のスクリプトを配置しておきましょう。

/usr/local/bin/scp_only.sh
---
#!/bin/sh
# scp_only.sh - chrootユーザーの環境定義スクリプト

export PATH=$PATH:/bin

LOG_FILE=/tmp/scp_only.log
echo $SSH_ORIGINAL_COMMAND > ${LOG_FILE}
echo $PWD >> ${LOG_FILE}

echo $SSH_ORIGINAL_COMMAND | grep '^scp ' > /dev/null 2>&1 || exit 77

umask 002
cd /home/${USER}
exec $SSH_ORIGINAL_COMMAND

chroot用のディレクトリを掘る

/chrootディレクトリを作り、その下にユーザー名のディレクトリを作ります。
さらに、その下に/binやchroot後のユーザーのホームディレクトリを作ります。

ここでは先にchroot後のユーザーのホームディレクトリを作ります。

# mkdir -p /chroot/USER_NAME/home/USER_NAME
# chown USER_NAME:USER_GROUP /chroot/USER_NAME/home/USER_NAME

chrootに必要なコマンド、ライブラリのコピー

chrootで使用するコマンドや、コマンドが必要とするライブラリをコピーしてやる必要があります。

mkdirでディレクトリを掘って、lddで必要なライブラリを探して、コピーして・・

と作業してもよいですが、面倒くさいのでスクリプトで一気に作ります。

/usr/local/sbin/create_chroot_env.sh
----
#!/bin/sh
# create_chroot_env.sh - chrooted scp 用の chroot 環境作成スクリプト
#

COMMANDS=\'/bin/bash /usr/local/sbin/scp_only.sh /bin/sh /bin/grep /bin/scp\'
LIBS=\'/lib64/libnss_files.so.2\'

if [ ${#} -ne 1 ]; then
cat < ${JAIL}/etc/passwd
chmod 644 ${JAIL}/etc/passwd
fi

if [ ! -e ${JAIL}/etc/nsswitch.conf ]; then
fi

mkdir_jail /tmp 1777

スクリプトを配置したら、実行権限を付与しておくとよいです。

引数にユーザー名を指定して、create_chroot_env.shを実行します。

# /usr/local/sbin/create_chroot_env.sh USER_NAME

スクリプトを実行した後は以下のようなディレクトリが出来ます。

# ls -Rl /chroot/USER_NAME
/chroot/USER_NAME:
合計 4
drwxr-xr-x. 2 root root   47  3月  6 13:12 bin
drwxr-xr-x. 2 root root   17  3月  6 13:12 dev
drwxr-xr-x. 2 root root   39  3月  6 13:12 etc
drwxr-xr-x. 3 root root   24  3月  6 13:12 home
drwxr-xr-x. 2 root root 4096  3月  6 13:12 lib64
drwxrwxrwt. 2 root root   25  3月  6 16:21 tmp
drwxr-xr-x. 3 root root   18  3月  6 13:12 usr

/chroot/USER_NAME/bin:
合計 2104
-rwxr-xr-x. 1 root root 960392  9月 26 10:53 bash
-rwxr-xr-x. 1 root root 154648  6月 10  2014 grep
-rwxr-xr-x. 1 root root  70208  6月 10  2014 scp
-rwxr-xr-x. 1 root root 960392  9月 26 10:53 sh

/chroot/USER_NAME/dev:
合計 0
crw-rw-rw-. 1 root root 1, 3  3月  6 13:12 null

/chroot/USER_NAME/etc:
合計 8
-rw-r--r--. 1 root root 14  3月  6 13:12 nsswitch.conf
-rw-r--r--. 1 root root 52  3月  6 13:12 passwd

/chroot/USER_NAME/home:
合計 0
drwxr-xr-x. 4 USER_NAME tomcat 30  3月  6 16:21 USER_NAME

/chroot/USER_NAME/home/USER_NAME:
合計 0

/chroot/USER_NAME/lib64:
合計 8464
-rwxr-xr-x. 1 root root  160240  1月 28 05:13 ld-linux-x86-64.so.2
-rwxr-xr-x. 1 root root 2107600  1月 28 05:13 libc.so.6
-rwxr-xr-x. 1 root root   40816  1月 28 05:13 libcrypt.so.1
-rwxr-xr-x. 1 root root 2004592  1月 21 05:58 libcrypto.so.10
-rwxr-xr-x. 1 root root   19512  1月 28 05:13 libdl.so.2
-rwxr-xr-x. 1 root root  502040 12月  3 22:57 libfreebl3.so
-rwxr-xr-x. 1 root root   62800  6月 10  2014 liblber-2.4.so.2
-rwxr-xr-x. 1 root root  340144  6月 10  2014 libldap-2.4.so.2
-rwxr-xr-x. 1 root root  113320  1月 28 05:13 libnsl.so.1
-rwxr-xr-x. 1 root root  251824  7月 23  2014 libnspr4.so
-rwxr-xr-x. 1 root root 1215920 12月  3 23:23 libnss3.so
-rwxr-xr-x. 1 root root   58288  1月 28 05:13 libnss_files.so.2
-rwxr-xr-x. 1 root root  182008 12月  3 21:53 libnssutil3.so
-rwxr-xr-x. 1 root root  398264  6月 10  2014 libpcre.so.1
-rwxr-xr-x. 1 root root   20016  7月 23  2014 libplc4.so
-rwxr-xr-x. 1 root root   15776  7月 23  2014 libplds4.so
-rwxr-xr-x. 1 root root  141616  1月 28 05:13 libpthread.so.0
-rwxr-xr-x. 1 root root  110808  1月 28 05:13 libresolv.so.2
-rwxr-xr-x. 1 root root   44048  1月 28 05:13 librt.so.1
-rwxr-xr-x. 1 root root  121296  6月 10  2014 libsasl2.so.3
-rwxr-xr-x. 1 root root  164016 12月  3 23:23 libsmime3.so
-rwxr-xr-x. 1 root root  259968 12月  3 23:23 libssl3.so
-rwxr-xr-x. 1 root root  174520  6月 10  2014 libtinfo.so.5
-rwxr-xr-x. 1 root root   14608  1月 28 05:13 libutil.so.1
-rwxr-xr-x. 1 root root   90632  6月 10  2014 libz.so.1

/chroot/USER_NAME/tmp:
合計 4
-rw-r--r--. 1 USER_NAME tomcat 19  3月  6 16:21 scp_only.log

/chroot/USER_NAME/usr:
合計 0
drwxr-xr-x. 3 root root 17  3月  6 13:12 local

/chroot/USER_NAME/usr/local:
合計 0
drwxr-xr-x. 2 root root 24  3月  6 13:12 sbin

/chroot/USER_NAME/usr/local/sbin:
合計 4
-rwxr-xr-x. 1 root root 253  3月  6 13:12 scp_only.sh

これで環境の構築は完了です。

sshd_configの設定

/etc/ssh/sshd_configのおしりに以下を記述し、sshをreloadもしくはrestartします。

Match User USER_NAME 
        ChrootDirectory /chroot/USER_NAME
        X11Forwarding no
        AllowTcpForwarding no
        ForceCommand /usr/local/sbin/scp_only.sh

これでchrootでscpを行う用意が出来ました。