Linux SFTP如何限制访问权限

在Linux系统中，使用SFTP（SSH File Transfer Protocol）限制访问权限可以通过多种方式实现，主要包括以下几个方面：

1. 用户和组权限

• 创建专用用户：为SFTP访问创建一个专用用户，避免使用root用户。
• 设置用户组：将SFTP用户添加到一个特定的用户组中，并为该组设置适当的权限。

2. 配置SSH服务器

编辑/etc/ssh/sshd_config文件，进行以下配置：

# 只允许SFTP访问
Subsystem sftp internal-sftp

# 限制SFTP用户的根目录
Match Group sftpusers
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

3. 创建用户组和用户

创建一个专门的用户组，并将SFTP用户添加到该组中：

sudo groupadd sftpusers
sudo useradd -m -G sftpusers sftpuser
sudo passwd sftpuser

4. 设置目录权限

确保SFTP用户的根目录及其子目录的权限设置正确：

sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser

# 创建一个上传目录，并设置适当的权限
sudo mkdir /home/sftpuser/uploads
sudo chown sftpuser:sftpusers /home/sftpuser/uploads
sudo chmod 755 /home/sftpuser/uploads

5. 配置SELinux（如果启用）

如果系统启用了SELinux，可能需要调整相关策略以允许SFTP访问：

sudo setsebool -P sftp_home_dir on
sudo chcon -Rt svirt_sandbox_file_t /home/sftpuser

6. 重启SSH服务

完成配置后，重启SSH服务以应用更改：

sudo systemctl restart sshd

7. 验证配置

使用SFTP客户端连接到服务器，验证访问权限是否按预期工作。

示例

假设你已经创建了一个名为sftpuser的用户，并将其添加到sftpusers组中。以下是完整的步骤：

1. 创建用户组和用户：

   sudo groupadd sftpusers
   sudo useradd -m -G sftpusers sftpuser
   sudo passwd sftpuser
   

2. 编辑/etc/ssh/sshd_config文件：

   sudo nano /etc/ssh/sshd_config
   

   添加或修改以下内容：

   Subsystem sftp internal-sftp
   Match Group sftpusers
       ChrootDirectory %h
       ForceCommand internal-sftp
       AllowTcpForwarding no
       X11Forwarding no
   

3. 设置目录权限：

   sudo chown root:root /home/sftpuser
   sudo chmod 755 /home/sftpuser
   sudo mkdir /home/sftpuser/uploads
   sudo chown sftpuser:sftpusers /home/sftpuser/uploads
   sudo chmod 755 /home/sftpuser/uploads
   

4. 重启SSH服务：

   sudo systemctl restart sshd
   

通过以上步骤，你可以有效地限制SFTP用户的访问权限，确保系统的安全性。