Linux下如何進(jìn)行SFTP用戶權(quán)限設(shè)置

2013/2/23 9:14:51  出處：本站整理   人氣：5296次    字號(hào)：小  中  大

眾所周知SFTP賬號(hào)是基于SSH賬號(hào)的，所以在默認(rèn)情況下訪問(wèn)服務(wù)器的權(quán)限是非常大的，今天的教程就是教大家進(jìn)行SFTP用戶權(quán)限設(shè)置。

必要條件：

你的openssh-server版本至少得失4.8p1, 因?yàn)榕渲脵?quán)限需要版本添加的新配置項(xiàng)ChrootDirectory來(lái)完成。

如何查看自己服務(wù)器上的ssh版本？大家可以嘗試以下命令：

$ ssh -V

具體實(shí)施步驟：

1. 我們需要?jiǎng)?chuàng)建一個(gè)用戶組，專(zhuān)門(mén)用于sftp用戶

$ groupadd sftpusers

2. 我們創(chuàng)建一個(gè)用戶test

$ useradd -s /bin/false -G sftpuser test

注意這里我們將test用戶的shell設(shè)置為/bin/false使他沒(méi)有登陸shell的權(quán)限

3. 編輯 /etc/ssh/sshd_config

找到Subsystem這個(gè)配置項(xiàng)，將其修改為

Subsystem  sftp  internal-sftp

然后再到文件最尾處增加配置設(shè)定屬于用戶組sftpusers的用戶都只能訪問(wèn)他們自己的home文件夾

Match Group sftpusers

ChrootDirectory %h

ForceCommand internal-sftp

AllowTcpForwarding no

保存并關(guān)閉文件

4. 修改test用戶home文件夾的權(quán)限，讓其屬于root用戶

chown root ~test

5. 重啟sshd服務(wù)

$ service sshd restart

6. 測(cè)試用戶賬號(hào)

$ ssh test@localhost

連接會(huì)被拒絕或者無(wú)法登陸

$ sftp tesst@localhost

登陸后你會(huì)發(fā)現(xiàn)你的賬號(hào)無(wú)法切換到除自己home目錄之外的地方的

常見(jiàn)問(wèn)題：

如果你鏈接服務(wù)器的時(shí)候出現(xiàn)下面的提示：

Write failed: Broken pipe

Couldn't read packet: Connection reset by peer

這個(gè)問(wèn)題的原因是ChrootDirectory的權(quán)限問(wèn)題，你設(shè)定的目錄必須是root用戶所有，否則就會(huì)出現(xiàn)問(wèn)題。所以請(qǐng)確保sftp用戶根目錄的所有人是root, 權(quán)限是 750 或者 755。