SSH 用户响应提示

Question

我们目前有几个用户在通过 SSH 登录服务器时使用管理员用户。他们都有自己的用户，但不幸的是，他们仍然偶尔使用管理员用户。我们当然可以将其锁定并采取措施确保从未使用过该用户，但我正在寻找是否有办法强制每次登录输入他们使用该用户的原因，然后才能登录并在他们使用管理员用户时访问服务器。

通过这种方式，我们可以轻松地将访问日志文件与员工姓名以及他们使用该用户的原因进行比较。

有什么想法吗？

Answer 1

这就是我要做的。

将每个人的 ssh 公钥注册到管理员用户的authorized_keys。在每个条目中，将环境 EMPLOYEE 设置为 employeename。这将要求在/etc/ssh/sshd_config 中将PermitUserEnviroment 设置为yes。示例条目应如下所示。

environment="EMPLOYEE=employee1" ssh-rsa AAAAB3NzaC1y.....EU88ovYKg4GfclWGCFYTuw8==

现在我们有了一个名为EMPLOYEE的环境变量，我们可以编写一个简单的脚本来询问原因。

创建一个文件/etc/profile.d/reason.sh。该文件不需要是可执行的，因为它将被获取。

if [[ $(whoami) = "admin" ]]; then
    read -p "Please specify the reason for logging in as $USER user: " reason
    if [ -z "$reason" ]; then
        logout
    fi
fi

现在您可以登录 $EMPLOYEE 和 $reason。

Answer 2

这是一个想法

#!/bin/bash

# if the user tries Ctrl+C to avoid this check
trap INT no_shell_for_you

no_shell_for_you() { exec /bin/false; }

read -p "Your username please: " username

if getent password "$username" >/dev/null 2>&1; then
    echo "Welcome, $username"
    # log $username somewhere
    exec /bin/bash -l
else
    no_shell_for_you
fi

1. 另存为 ~admin_user/bin/get_real_user.sh
2. 将 /full/path/to/admin_user/bin/get_real_user.sh 添加到/etc/shells
3. 做sudo chsh -s /full/path/to/admin_user/bin/get_real_user.sh admin_user

这是未经测试的。在第 3 步之前彻底测试。