チャプター ▾ 第2版

4.4 サーバー上の Git - サーバーのセットアップ

サーバーのセットアップ

サーバー側でSSHアクセスを設定する手順を見ていきましょう。この例では、ユーザーの認証にauthorized_keysメソッドを使用します。また、Ubuntuのような標準的なLinuxディストリビューションを使用していると仮定します。

注

ここに記述されている内容の多くは、公開鍵を手動でコピーしてインストールするのではなく、ssh-copy-idコマンドを使用することで自動化できます。

まず、gitユーザーアカウントと、そのユーザー用の.sshディレクトリを作成します。

$ sudo adduser git
$ su git
$ cd
$ mkdir .ssh && chmod 700 .ssh
$ touch .ssh/authorized_keys && chmod 600 .ssh/authorized_keys

次に、いくつかの開発者のSSH公開鍵をgitユーザーのauthorized_keysファイルに追加する必要があります。信頼できる公開鍵があり、それらを一時ファイルに保存したと仮定します。繰り返しになりますが、公開鍵は次のようなものです

$ cat /tmp/id_rsa.john.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4L
ojG6rs6hPB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4k
Yjh6541NYsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9Ez
Sdfd8AcCIicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myiv
O7TCUSBdLQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPq
dAv8JggJICUvax2T9va5 gsg-keypair

それらをgitユーザーの.sshディレクトリにあるauthorized_keysファイルに追記するだけです

$ cat /tmp/id_rsa.john.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.josie.pub >> ~/.ssh/authorized_keys
$ cat /tmp/id_rsa.jessica.pub >> ~/.ssh/authorized_keys

次に、--bareオプションを指定してgit initを実行し、作業ディレクトリなしでリポジトリを初期化することで、空のリポジトリを設定できます

$ cd /srv/git
$ mkdir project.git
$ cd project.git
$ git init --bare
Initialized empty Git repository in /srv/git/project.git/

その後、John、Josie、またはJessicaは、リモートとして追加し、ブランチをプッシュすることで、プロジェクトの最初のバージョンをそのリポジトリにプッシュできます。プロジェクトを追加するたびに、誰かがマシンにシェル接続してベアリポジトリを作成する必要があることに注意してください。gitユーザーとリポジトリを設定したサーバーのホスト名としてgitserverを使用しましょう。内部で実行しており、gitserverがそのサーバーを指すようにDNSを設定した場合、コマンドはほぼそのまま使用できます（myprojectがファイルを含む既存のプロジェクトであると仮定して）

# on John's computer
$ cd myproject
$ git init
$ git add .
$ git commit -m 'Initial commit'
$ git remote add origin git@gitserver:/srv/git/project.git
$ git push origin master

この時点で、他のユーザーも簡単にクローンして変更をプッシュバックできます

$ git clone git@gitserver:/srv/git/project.git
$ cd project
$ vim README
$ git commit -am 'Fix for README file'
$ git push origin master

この方法を使用すると、少数の開発者向けに読み書き可能なGitサーバーを迅速に立ち上げて実行できます。

現在、これらのユーザーはすべてサーバーにログインし、gitユーザーとしてシェルを取得できることにも注意してください。これを制限したい場合は、/etc/passwdファイルでシェルを別のものに変更する必要があります。

Gitに付属のgit-shellという制限付きシェルツールを使用すると、gitユーザーアカウントをGit関連の活動のみに簡単に制限できます。これをgitユーザーアカウントのログインシェルとして設定すると、そのアカウントはサーバーへの通常のシェルアクセスができません。これを使用するには、そのアカウントのログインシェルとしてbashまたはcshの代わりにgit-shellを指定します。そのためには、まず/etc/shellsにgit-shellコマンドのフルパスを追加する必要があります（まだ存在しない場合）

$ cat /etc/shells   # see if git-shell is already in there. If not...
$ which git-shell   # make sure git-shell is installed on your system.
$ sudo -e /etc/shells  # and add the path to git-shell from last command

これで、chsh <username> -s <shell>を使用してユーザーのシェルを編集できます

$ sudo chsh git -s $(which git-shell)

これで、gitユーザーはSSH接続を使用してGitリポジトリをプッシュおよびプルできますが、マシンにシェル接続することはできません。試みると、次のようなログイン拒否が表示されます

$ ssh git@gitserver
fatal: Interactive git shell is not enabled.
hint: ~/git-shell-commands should exist and have read and execute access.
Connection to gitserver closed.

この時点でも、ユーザーはSSHポートフォワーディングを使用して、Gitサーバーが到達できるすべてのホストにアクセスできます。これを防ぎたい場合は、authorized_keysファイルを編集し、制限したい各キーに次のオプションを前置します

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty

結果は次のようになるはずです

$ cat ~/.ssh/authorized_keys
no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQCB007n/ww+ouN4gSLKssMxXnBOvf9LGt4LojG6rs6h
PB09j9R/T17/x4lhJA0F3FR1rP6kYBRsWj2aThGw6HXLm9/5zytK6Ztg3RPKK+4kYjh6541N
YsnEAZuXz0jTTyAUfrtU3Z5E003C4oxOj6H0rfIF1kKI9MAQLMdpGW1GYEIgS9EzSdfd8AcC
IicTDWbqLAcU4UpkaX8KyGlLwsNuuGztobF8m72ALC/nLF6JLtPofwFBlgc+myivO7TCUSBd
LQlgMVOFq1I2uPWQOkOWQAHukEOmfjy2jctxSDBQ220ymjaNsHT4kgtZg2AYYgPqdAv8JggJ
ICUvax2T9va5 gsg-keypair

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa
AAAAB3NzaC1yc2EAAAADAQABAAABAQDEwENNMomTboYI+LJieaAY16qiXiH3wuvENhBG...

これでGitのネットワークコマンドは正常に機能しますが、ユーザーはシェルを取得できません。出力に示されているように、gitユーザーのホームディレクトリに、git-shellコマンドを少しカスタマイズするディレクトリを設定することもできます。たとえば、サーバーが受け入れるGitコマンドを制限したり、ユーザーがそのようにSSH接続しようとしたときに表示されるメッセージをカスタマイズしたりできます。シェルのカスタマイズに関する詳細については、git help shellを実行してください。

scroll-to-top