指定コマンドしか実行できない鍵の設定

webサーバのバックでsshさせて結果を出力すると便利。

grepしかできない公開鍵設定の例

myserver:~/.ssh/authorized_keys

from="11.22.33.44",command="/bin/grep ${SSH_ORIGINAL_COMMAND} /var/log/maillog.1 /var/log/maillog",no-pty,no-port-forwarding,no-X11-forwarding,no-agent-forwarding ssh-rsa 〜SSHの公開鍵〜

• from=で接続元IPアドレスの制限
• command=の${SSH_ORIGINAL_COMMAND}にはsshの引数が入る。

引数を指定する

$ ssh myserver -i ~/.ssh/myserver_grep_only/id_rsa \
  [e-mail]

とすると、${SSH_ORIGINAL_COMMAND}に[e-mail]が入る。

確認方法

~/.ssh/authorized_keysにcommand="env"としておけば見れます。