Hi, From: Martin Zobel-Helas Date: Thu, 5. Sep 2013 11:42
> can we please discuss, if the Ganeti commands run via SSH on a remote > machine can be limited to forced commands? I would very appreciate this. And even more: * Issue 197: sudo escalation and non root ssh * Issue 377: distribute private SSH-key only to master / candidates The sudo issue is similar to forced commands: You need a list of allowed commands. I already tested forced commands with a wrapper script. Inside this script one can check $SSH_ORIGINAL_COMMAND and decide whether to allow or not. Mostly this wouldn't stop Ganeti working. Just some extra functionality like gnt-cluster command / copyfile must be given up. The sudo way has following advantage: * having a dedicated user for Ganeti remote commands * having "approved" privilege granting and logging Some certified environments depends on this. Thanks, Sascha. Vorsitzender des Aufsichtsrates: Ralf Hiltenkamp Geschäftsführung: Michael Krüger (Sprecher), Stephan Drescher Sitz der Gesellschaft: Halle/Saale Registergericht: Amtsgericht Stendal | Handelsregister-Nr. HRB 208414 UST-ID-Nr. DE 158253683 Diese E-Mail enthält vertrauliche und/oder rechtlich geschützte Informationen. Wenn Sie nicht der richtige Empfänger sind oder diese E-Mail irrtümlich erhalten haben, informieren Sie bitte sofort den Absender und vernichten Sie diese Mail. Das unerlaubte Kopieren sowie die unbefugte Weitergabe dieser Mail oder des Inhalts dieser Mail sind nicht gestattet. Diese Kommunikation per E-Mail ist nicht gegen den Zugriff durch Dritte geschützt. Die GISA GmbH haftet ausdrücklich nicht für den Inhalt und die Vollständigkeit von E-Mails und den gegebenenfalls daraus entstehenden Schaden. Sollte trotz der bestehenden Viren-Schutzprogramme durch diese E-Mail ein Virus in Ihr System gelangen, so haftet die GISA GmbH - soweit gesetzlich zulässig - nicht für die hieraus entstehenden Schäden.
