feat(zielkonten): Benutzer anlegen und sudoers pflegen (#018)

Zielbenutzer wie deploy legt sshkv bei Bedarf an, mit ~/.ssh und optional einer sudoers-Datei: keine Rechte, bestimmte Befehle oder voll. Die Datei entsteht unter einem Namen, den sudo ignoriert, und wird erst nach visudo -c aktiv. Eine fremde Datei gleichen Namens ueberschreibt sshkv nie, Systemkonten wie root oder sshkv fasst es nicht an. Befehle muessen absolute Pfade sein; Zeichen mit Sonderbedeutung in sudoers sind ausgeschlossen, damit die Liste so wirkt, wie sie aussieht. Vorgang und Oberflaeche folgen mit #019/#020. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 10:38:22 +02:00
parent c2b8004ade
commit 7b6323a6a4
4 changed files with 372 additions and 0 deletions
@@ -0,0 +1,65 @@
+import { describe, expect, it } from "vitest";
+import {
+  ZielkontoFehler,
+  befehlPruefen,
+  sudoersInhalt,
+  zielkontoEntfernenSkript,
+  zielkontoSkript,
+} from "@/lib/ssh/zielkonto";
+
+/** Zielkonten und sudoers (#018), als Text; ausgefuehrt im Integrationstest. */
+
+describe("sudoers-Inhalt", () => {
+  it("gibt vollen Zugriff nur ausdruecklich", () => {
+    expect(sudoersInhalt("deploy", "VOLL")).toContain("deploy ALL=(ALL:ALL) NOPASSWD: ALL");
+    expect(sudoersInhalt("deploy", "KEINER")).toBeNull();
+  });
+
+  it("listet bestimmte Befehle", () => {
+    expect(
+      sudoersInhalt("deploy", "BEFEHLE", [
+        "/usr/bin/systemctl restart app",
+        " /usr/bin/docker  compose up -d ",
+      ]),
+    ).toBe(
+      "# Verwaltet von SSHKeyVault (sshkv) - nicht manuell bearbeiten\n" +
+        "deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart app, /usr/bin/docker compose up -d\n",
+    );
+    expect(() => sudoersInhalt("deploy", "BEFEHLE", [])).toThrow(ZielkontoFehler);
+  });
+
+  it.each([
+    ["relativer Pfad", "systemctl restart app"],
+    ["Komma", "/bin/a, ALL"],
+    ["Doppelpunkt", "/bin/a:b"],
+    ["Gleichheitszeichen", "/bin/a x=y"],
+    ["Wildcard", "/bin/rm *"],
+    ["Backslash", "/bin/a \\,"],
+    ["Zeilenumbruch", "/bin/a\nALL ALL=(ALL) ALL"],
+    ["Shell-Zeichen", "/bin/sh -c id;id"],
+  ])("weist ab: %s", (_, befehl) => {
+    expect(() => befehlPruefen(befehl)).toThrow(ZielkontoFehler);
+  });
+});
+
+describe("Skripte", () => {
+  it("schuetzt Systemkonten", () => {
+    for (const benutzer of ["root", "sshkv", "nobody"]) {
+      expect(() => zielkontoSkript(benutzer, "VOLL")).toThrow(ZielkontoFehler);
+      expect(() => zielkontoEntfernenSkript(benutzer, true)).toThrow(ZielkontoFehler);
+    }
+    expect(() => zielkontoSkript("Root;id", "KEINER")).toThrow(ZielkontoFehler);
+  });
+
+  it("prueft sudoers vor dem Aktivieren und ueberschreibt keine fremde Datei", () => {
+    const skript = zielkontoSkript("deploy", "VOLL");
+    expect(skript.indexOf("visudo -cf")).toBeLessThan(skript.indexOf('mv "$NEU" "$DATEI"'));
+    expect(skript).toContain("SSHKV-SUDOERS-FREMD");
+    expect(zielkontoSkript("deploy", "KEINER")).toContain('rm -f "$DATEI"');
+  });
+
+  it("loescht den Benutzer nur, wenn gewuenscht", () => {
+    expect(zielkontoEntfernenSkript("deploy", true)).toContain("userdel");
+    expect(zielkontoEntfernenSkript("deploy", false)).not.toContain("userdel");
+  });
+});