即时复制和隔离用户环境

Question

我将在这个项目中使用 Ubuntu Linux。

为了在会议上培训特定应用程序，我需要：

1. 让每个学生都能够通过 ssh 连接到服务器上的同一个用户帐户
2. 每次登录时自动将用户置于单独的隔离环境中
3. 每个隔离的环境都包括应用程序、示例配置文件和标准的 unix 工具集（例如 grep、awk、sort、uniq 等）。但是，只要用户只能损坏自己的文件系统，就可以访问整个 linux 文件系统孤立的环境，而不是其他人的环境。
4. 当用户 SSH 会话结束时，应该销毁虚拟环境

对于#1，我们希望使用单个用户帐户，这样我们就不必为每个学生创建一个帐户并分发用户名和密码。

有谁知道我如何才能实现这些目标？哪种技术（例如 LXC、Chroot 等）最适合这种情况？我一直在考虑使用 .bash_profile 和 .bash_logout 来处理这些环境的创建和破坏，但不确定哪种技术能够创建我需要的环境。

Answer 1

使用Docker，您可以非常轻松地做到这一点。

docker pull ubuntu

docker run -t -i ubuntu /bin/bash
# make your changes and then log out
docker commit $(docker ps -a -q | head -n 1) sandbox

cat > /usr/local/bin/sandbox <<EOF
#!/bin/sh
exec docker run -t -i --rm=true sandbox /bin/bash
EOF
chmod a+x /usr/local/bin/sandbox

echo /usr/local/bin/sandbox >> /etc/shells

useradd testuser -g docker -s /usr/local/bin/sandbox
passwd testuser

每当testuser登录时，他们都会被放置在一个隔离的容器中，在那里他们看不到外面的任何东西，甚至看不到其他用户的容器。
当他们注销时，容器将被自动删除。

解释：

docker pull ubuntu

在这里，我们获取将要使用的基本图像。Docker 提供了标准镜像，ubuntu 就是其中之一。
 

docker run -t -i ubuntu /bin/bash
# make your changes and then log out

在这里，我们从 ubuntu 映像启动一个 shell。您所做的任何更改都将为您的用户保留。
您也可以使用Dockerfile来构建映像，但有一次，我认为这更简单。
 

docker commit $(docker ps -a -q |  head -n 1) sandbox

在这里，我们将运行的最后一个容器转换为名为sandbox.
 

cat > /usr/local/bin/sandbox <<EOF
#!/bin/sh
exec docker run -t -i --rm=true sandbox /bin/bash
EOF

这将是一个伪造的 shell，用户在登录时被迫运行。该脚本会将它们启动到 docker 容器中，一旦它们注销，该容器就会自动清理。
 

chmod a+x /usr/local/bin/sandbox

我希望这很明显:-)
 

echo /usr/local/bin/sandbox >> /etc/shells

这在您的系统上可能不需要，但在我的系统上，除非它存在于/etc/shells.
 

useradd testuser -g docker -s /usr/local/bin/sandbox

我们创建一个新用户，将其 shell 设置为我们将创建的脚本。该脚本将强制它们启动到沙盒容器中。他们是docker组的成员，因此用户可以启动新容器。
将用户放入 docker 组的另一种方法是授予他们对单个命令的 sudo 权限。
 

passwd testuser

我希望这也是显而易见的。