如何限制Gitea部署下etckeeper跨服务器仓库访问权限

核心隔离逻辑 #

彻底放弃当前「所有服务器复用同一把SSH公钥、绑定到高权限Gitea账号」的配置模式，以一服务器一独立身份凭证、最小权限单独绑定为原则，从身份匹配层切断跨仓库访问的可能性，同时覆盖SSH CLI操作、Web端访问两个渠道的权限校验流程。

第一步：完成SSH CLI访问路径的权限隔离 #

• 清理现有共享权限：将之前所有统一配置在Gitea账号下的共享etckeeper SSH公钥从密钥列表中删除，完全移除旧配置残留的跨仓库访问基础。
• 为每台服务器生成专属etckeeper专用SSH密钥：
  • CentOS 7主机使用ssh-keygen -t ed25519 -b 4096 -f /etc/etckeeper/etckeeper_key -N ""生成无密码的专用密钥
  • CentOS 6主机因自带OpenSSH版本不支持ed25519算法，改用ssh-keygen -t rsa -b 4096 -f /etc/etckeeper/etckeeper_key -N ""生成兼容密钥
  • 生成后将私钥文件权限设置为600，属主为root，避免普通用户读取造成凭证泄露。
• 配置Gitea侧的独立身份映射：
  • 为每台服务器创建对应的Gitea独立服务账号，命名规则统一为etckeeper-<主机资产编号/主机名>，禁止将这些服务账号加入拥有全仓库访问权限的管理员团队。
  • 将每台服务器生成的etckeeper公钥，单独绑定到对应服务账号的SSH密钥列表中，绝对禁止绑定到个人管理员账号、其他服务器的服务账号下。
  • 给每个服务账号仅分配对应服务器etckeeper仓库的读写协作权限，不对任何其他仓库做授权。Gitea的SSH权限校验逻辑为：根据连接时使用的SSH公钥匹配到对应身份账号，再按该账号的授权列表判断仓库访问资格，该配置下任意服务账号仅能访问被授权的单个仓库，从机制上杜绝跨仓库越权。
• 调整本地etckeeper的连接配置：在每台服务器的本地SSH配置（/etc/ssh/ssh_config）中为Gitea服务域名条目指定专属的etckeeper私钥路径，同步调整etckeeper配置中的git远程仓库地址为对应主机的专属仓库路径，确保etckeeper推送时仅使用对应专属凭证连接。

第二步：完成Gitea Web渠道的权限控制 #

• 针对所有创建的etckeeper服务账号，关闭Web端主动登录权限：通过Gitea的账号配置，禁用这些服务账号的Web登录、注册关联权限，仅保留SSH git操作的接口能力，避免服务账号被恶意登录后通过Web端浏览其他内容。
• 重新梳理所有个人Gitea账号的仓库授权：按实际运维权责划分，仅给运维人员分配其负责对应主机etckeeper仓库的Web访问权限，禁止将全部10个etckeeper仓库的Web访问权限统一开放给单个管理员账号。
• 开启Gitea的全量操作审计日志：针对所有etckeeper仓库，记录Web端的浏览、修改、下载操作，以及CLI端的克隆、拉取、推送操作，一旦检测到无权限的访问请求，直接拦截并触发告警。

第三步：隔离效果校验与风险加固 #

• 逐个做隔离有效性验证：在每台安装etckeeper的服务器上，手动执行克隆其他服务器对应etckeeper仓库的操作，确认收到Gitea返回的「无仓库访问权限」报错，即可验证CLI路径隔离生效。
• 给每个etckeeper仓库开启分支保护规则：禁止强制推送、禁止删除主分支，就算某台服务器的etckeeper私钥泄露，攻击者也无法篡改仓库历史、销毁操作痕迹。
• 兜底检查所有Gitea团队的默认权限：确认不存在任何团队默认给所有成员开放etckeeper仓库访问权限的配置，避免配置遗漏导致隔离失效。

内容的提问来源于stack exchange，提问作者lolka