neue Benutzer werden nicht angelegt - kein SSH Zugriff

kein bug und kein Denkfehler - ssh ist (leider) nur für den Hauptbenutzer möglich.

Zusätzliche ssh-user wären schon hilfreich. Kunden haben z.T. mehrere externe
Webbetreuer und die sollen nicht unbedingt mit dem Hauptaccount arbeiten.
Klassisches ftp ist out. Da fällt mir gleich ein neuer Vorschlag ein:
bei Aktivieren von ssh gleichzeitig ein Verzeichnis .ssh anlegen.
ssh-login per passwort ist ja auch ...

Hallo,

pro Vertrag ist leider nur ein Systembenutzer möglich. Das hängt mit der Absicherung der Zugriffsrechte zusammen: die Webspace-Verzeichnisse "gehören" dem Kunden, der Webserver hat nur Leserechte darauf (Eigentümer also z.B. web1:www-data, Mode=0750). So ist sichergestellt, dass keine fremden Accounts da hinein dürfen.
Würde man das htdocs-Verzeichnis nun einer Kundengruppe übereignen, dann müsste als Besitzer der Webserver eingetragen werden (also www-data:web1). Das bringt aber erhebliche Sicherheitsrisiken mit sich, suPHP/suexec funktioniert nicht mehr, u.v.m.

Es gibt verschiedene theoretische Workarounds:
- den Webserver Mitglied jeder Kundengruppe werden lassen (Anzahl der Gruppenmitgliedschaften ist aber begrenzt, außerdem ist das wieder ein Sicherheitsproblem)
- Verwendung von erweiterten Attributen bzw. ACLs (wird nicht mit jedem Filesystem unterstützt)

Mir ist derzeit kein Berechtigungsschema bekannt, bei dem mehrere Benutzer einer Gruppe sicher Zugriff auf einen Webspace bekommen könnten, ohne dass andere User auch dort "hinein können", gleichzeitig aber der Webserver dort Leserechte hat.
Die Variante mit ACLs wäre wohl noch am vernünftigsten - vielleicht ließe sich das ja optional einrichten.

Viele Grüße

-Klaus Keppler

Zitat von luitpold

bei Aktivieren von ssh gleichzeitig ein Verzeichnis .ssh anlegen.
ssh-login per passwort ist ja auch ...

auch dafür!

btw: die Lösung eines anderen Controlpanels wollen wir sicher nicht mehr

web124:x:673:673::/var/www/web124:/bin/false
web124f1:x:673:673::/var/www/web124/html/cms/picture/upload:/bin/false

Zitat von luitpold

Klassisches ftp ist out. Da fällt mir gleich ein neuer Vorschlag ein:
bei Aktivieren von ssh gleichzeitig ein Verzeichnis .ssh anlegen.
ssh-login per passwort ist ja auch ...

Ist hier über eine custom.lua gelöst, die bei Domain-Updates die vorgegebenen Verzeichnisse prüft und anlegt.

Zitat

btw: die Lösung eines anderen Controlpanels wollen wir sicher nicht mehr

web124:x:673:673::/var/www/web124:/bin/false
web124f1:x:673:673::/var/www/web124/html/cms/picture/upload:/bin/false

hmm.
Wieso nicht?
Das hat einwandfrei funktioniert und verursacht m.E. sicherheitstechnisch keine großen Probleme.
Ich würde für einen SSH Benutzer lediglich die Option eines abweichenden Homepfades deaktivieren d.h. alles SSH Benutzer dieses Vertrages würden in /var/www/web124 kommen.

Grüßt euch,

ich habe das selbe Problem. aber mit web6, also dem Hauptbenutzer.

Ein Login ist jedenfalls per SSH über web6 nicht möglich, er sagt immer "Falsches Passwort". PW für Hauptbenutzer geändert, keine Änderung.

Hat jemand eine Idee?

Logs (SSH sowie LiveConfig) prüfen, sowie die /etc/shadow vor und nach der PW-Änderung vergleichen, ggf. auszugsweise hier posten.

Zitat von isphttp.de

Ein Login ist jedenfalls per SSH über web6 nicht möglich, er sagt immer "Falsches Passwort". PW für Hauptbenutzer geändert, keine Änderung.

• im Vertrag (bzw. im Angebot) muss "SSH-Zugriff" erlaubt sein (mit der Einstellung "ja (Shell)")
• für SSH gilt das Passwort des FTP-Hauptbenutzers (nicht das LiveConfig-Passwort)

Viele Grüße

-Klaus Keppler