Налаштуйте облікові записи користувачів лише для SFTP на CentOS 7

У деяких випадках системному адміністратору може знадобитися створити обліковий запис користувача та обмежити його доступ, щоб керувати лише власними файлами через sFTP, але не мати змоги увійти в систему будь-яким іншим способом. Рішення, представлене в цій статті, покаже вам, як виконати це завдання.

Передумови

Щоб отримати практичний досвід, вам потрібно розгорнути екземпляр сервера Vultr CentOS 7 x64. Зверніть увагу, що інструкції для інших дистрибутивів Linux можуть відрізнятися.

Крім того, усі команди в цій статті підходять для root; як такий, вам знадобиться, sudo privilegesякщо ви використовуєте користувача без права root.

Крок 1. Створіть окрему групу sFTP та окремого користувача sFTP

groupadd sftpusers
useradd -g sftpusers -s /sbin/nologin user1
passwd user1

Тут група sftpusers— це виділена група sFTP, користувач user1— це виділений користувач sFTP, якому заборонено входити за допомогою SSH.

Крок 2. Змініть конфігурацію служби sshd

Відкрийте файл конфігурації служби sshd:

vi /etc/ssh/sshd_config

Знайдіть рядок:

Subsystem sftp /usr/libexec/openssh/sftp-server

Замініть його на:

Subsystem sftp internal-sftp

Додайте наступні рядки в кінець файлу. Назва групи sftpusersмає збігатися з тим, що ви вказали раніше.

Match Group sftpusers
X11Forwarding no
AllowTcpForwarding no
ChrootDirectory %h
ForceCommand internal-sftp

Збережіть і вийдіть:

:wq

Перезапустіть службу sshd, щоб ваші зміни вступили в силу.

systemctl restart sshd.service

Крок 3. Створіть спеціальний каталог для користувача, що підтримує лише sFTP

Вам потрібно вказати каталог для користувача, що підтримує лише sFTP, і переконатися, що цей користувач може грати лише в цьому каталозі:

chown -R root /home/user1
chmod -R 755 /home/user1
mkdir /home/user1/files
chown user1. /home/user1/files

Тепер користувач user1може завантажувати та/або завантажувати файли лише в каталозі /home/user1/files, він або вона ніколи не може торкатися файлів інших користувачів.

Крок 4. Створіть більше користувачів лише для sFTP

Якщо вам потрібно більше користувачів лише для sFTP, ви можете створити їх таким же чином:

useradd -g sftpusers -s /sbin/nologin user2
passwd user2
chown -R root /home/user2
chmod -R 755 /home/user2
mkdir /home/user2/files
chown user2. /home/user2/files

Це воно. Кожен обліковий запис користувача, створений таким чином, буде відхилено, якщо ви використовуєте його для входу в систему. Ці облікові записи користувачів можна використовувати лише в програмах sFTP.