ﾚｽ
元ﾄﾋﾟﾀｲﾄﾙ
Re: 問題ID: 14708ﾌｫｰﾗﾑ
最強WEB問題集LinuC/LPIC Lv2 202投稿ﾕｰｻﾞ(投稿日)
(2015/6/20)本文
-----引用(始)-----
正しくはDenyUsersおよびDenyGroups､AllowUsersおよびAllowGroupsの順番で処理されるのではないでしょうか｡
-----引用(終)-----
あｰ…
これﾊﾏるんですよねぇ｡
まず､sshd_configのmanﾍﾟｰｼﾞからですが
-----引用(始)-----
AllowGroups
This keyword can be followed by a list of group name patterns, separated by spaces. If speci‐
fied, login is allowed only for users whose primary group or supplementary group list matches
one of the patterns. Only group names are valid; a numerical group ID is not recognized. By
default, login is allowed for all groups. The allow/deny directives are processed in the fol‐
lowing order: DenyUsers, AllowUsers, DenyGroups, and finally AllowGroups.
-----引用(終)-----
あくまで｢processed in the following order(以下の順に処理されます)｣なんですよね｡
で､ackey1112さんと似たような認識で｢ﾄﾞｷｭﾒﾝﾄﾊﾞｸﾞだ!｣ってopenssh-unix-devﾒｰﾘﾝｸﾞﾘｽﾄにPATCH投げた人がいるんですが
[PATCH] document evaluation of {Allow|Deny}{Users|Groups}
https://lists.mindrot.org/pipermail/openssh-unix-dev/2015-February/033465.html
-----引用(始)-----
From: Christoph Anton Mitterer
• Document what the evaluation order of AllowUsers, DenyUsers, AllowGroups and
DenyGroups actually means.
Fixes bug #2292.
(略)
-----引用(終)-----
ばっさり切り捨てられてるんですね
https://lists.mindrot.org/pipermail/openssh-unix-dev/2015-February/033485.html
-----引用(始)-----
> +The first one that matches determines whether the login is allowed or
> +denied, with the later processed directives being ignored.
This is actually not true. You can specify {Allow|Deny}{Users|Groups}
multiple times and all of the rows are applied.
超意訳)
全然合ってないし｡どこに書いても何回書いても有効だから｡
-----引用(終)-----
じゃｰmanは正しいのか?ってことでopenssh-6.8p1のｿｰｽ見てみたら､auth.cの88行目からのint allowed_user(struct passwd * pw)でここの判定がされてるみたいです｡false(数字の0)が返却されたら許可されてないﾕｰｻﾞｰだとみなすという｡
実際の判定は189行目からで､
･DenyUsersに書いてあるﾕｰｻﾞｰとﾏｯﾁしたらfalse
･AllowUsersになんか書いてあるけどそこに書いてあるﾕｰｻﾞｰにﾏｯﾁしなかったらfalse
213行目からはｸﾞﾙｰﾌﾟ判定で､DenyGroupsかAllowGroupsのどっちかが設定されてる時に
･DenyGroups, AllowGroupsどっちのｸﾞﾙｰﾌﾟにも所属してなかったらfalse(不明なのは拒否)
･DenyGroupsに書いてあるｸﾞﾙｰﾌﾟに所属してたらfalse
･AllowGroupsになんか書いてあるけど､ﾕｰｻﾞｰのどの所属ｸﾞﾙｰﾌﾟもそこに書いてあるｸﾞﾙｰﾌﾟにﾏｯﾁしなかったらfalse
で､そこを全部ﾊﾟｽして252行目に来ると
-----引用(始)-----
/* We found no reason not to let this user try to log on... */
(超意訳)
ﾛｸﾞｵﾝしにきたやつを拒否する理由がねぇよ…
return 1; ←True返却=このﾕｰｻﾞｰはﾛｸﾞｲﾝできる
-----引用(終)-----
ってことで､ちゃんとmanにある通り
DenyUsers -> AllowUsers -> DenyGroups -> AllowGroups
の順に処理されてるんですね｡で､Denyする理由がなかったら許可されると｡
｢Denyに書いてあったらその意図の通りDenyするよ!｣ってことは間違いないです｡でも解説にある順番も､公式manﾍﾟｰｼﾞ通り間違ってないです｡
ややこしｰ (^^;
ﾚｽ一覧
- Re: 問題ID: 14708(2015/6/22)
元ﾄﾋﾟ