PowerStore : fonctionnement des limites shell liées à rbash et à d’autres implémentations de sécurité

Les erreurs suivantes ont été observées après la prise de ces mesures :

• rbash: cd: restricted (au cours de la navigation entre les répertoires)
• rbash: xxxx: restricted: cannot redirect output (au cours de la redirection des résultats vers un fichier à l’aide de « > »)
• rbash: xxxx: command not found (au cours de l’exécution de commandes ne se trouvant pas dans la liste autorisée)
• rbash: ./example_script: restricted: cannot specify `/' in command names (au cours de l’exécution de scripts)
• Impossible d’initialiser le protocole SFTP L’hôte exécute-t-il un serveur SFTP ? (au cours de la configuration d’outils de transfert de fichiers de type WinSCP)
• Échec de la commande « cd "xxxx" » accompagné du code de retour 1 et d’un message d’erreur. -rbash: line 47: cd: restricted (au cours de la modification des répertoires avec WinSCP)

La mise en œuvre de rbash signifie qu’il est possible de modifier le comportement du shell en désactivant certaines actions et fonctionnalités, notamment :

• Remplacer des répertoires grâce à la commande cd builtin.
• Paramétrer ou déparamétrer les valeurs des variables SHELL, PATH, ENV ou BASH_ENV.
• Indiquer des noms de commande contenant des slashs.
• Spécifier un nom de fichier contenant un slash comme argument de la commande . builtin.
• Spécifier un nom de fichier contenant un slash comme argument de l’option -p de la commande de hachage builtin.
• Importer au démarrage des définitions de fonction à partir de l’environnement shell.
• Analyser au démarrage la valeur de SHELLOPTS à partir de l’environnement shell.
• Rediriger la sortie à l’aide des opérateurs de redirection ‘>’, ‘>|’, ‘<>’, ‘>&’, ‘&>’, et ‘>>’.
• Utiliser le fichier exécutable builtin pour remplacer le shell par une autre commande.
• Ajouter ou supprimer des commandes builtin à l’aide des options -f et -d de la commande builtin active.
• Utiliser la commande builtin active pour activer les builtin shell désactivés.
• Indiquer l’option -p pour la commande builtin.
• Désactiver le mode restreint à l’aide de « set +r » ou « set +o restricted ».

Pour de plus amples informations, consultez la page suivante :
https://www.gnu.org/software/bash/manual/html_node/The-Restricted-Shell.html 

Nous vous présentons ici quelques options visant à faciliter la navigation dans le système et l’interaction avec celui-ci en dépit des limitations évoquées ci-dessus.

Transferts de fichiers 

Utilisez SCP plutôt que le protocole SFTP ou FTP lors de la configuration d’outils de transfert de fichiers de type WinSCP.   

Rappel :
Les utilisateurs ne peuvent pas modifier les répertoires (cd non autorisé). Par conséquent, tous les éléments à télécharger depuis le nœud ou l’appliance doivent d’abord être copiés vers /home/service/user.
Seules les ressources de support normales font exception à la règle. Afin de faciliter le téléchargement, des liens sont automatiquement placés dans le répertoire de base pour chaque ensemble disponible de documents de support.

Si vous souhaitez télécharger les fichiers directement à partir du répertoire dans lequel ils se trouvent, vous devrez d’abord trouver le chemin complet à partir du shell PowerStore. Ensuite, vous pourrez utiliser des outils de type PSCP (à partir de l’interface de ligne de commande Windows) ou SCP (à partir de Linux).
Exemple PSCP Windows :

Syntaxe :

Usage: pscp [options] [user@]host:source target pscp [options] source [source...] [user@]host:target

Remarque : dans certaines nouvelles versions de Windows 10, vous devez peut-être spécifier le port (-P 22).

Exemple de téléchargement :

pscp -scp -P 22 service@<appliance or node IP>:/path/to/file/to/download C:\Local\dowwnload-save\location pscp -scp service@xx.xx.xx.xx:/cyc_var/cyc_service/data_collection/xxxxxxxx/powerstore_xxxxxxxx_2020-05-06_00-00-00_service-data.tgz C:\LOGS service@xx.xx.xx.xx's password: powerstore_xxxxxxxxx | 10944 kB | x.x kB/s | ETA: 00:00:00 | 100%

Exemple de chargement :

pscp -scp -P 22 C:\Logs\somefile.txt service@xx.xx.xx.xx:/home/service/user service@xx.xx.xx.xx's password: somefile.txt           | 211 kB | 212.0 kB/s | ETA: 00:00:00 | 100%

 

Navigation