建立SFTP目录权限控制

建立SFTP目录权限控制

在提供SFTP服务时，为了确保安全性，特别是向第三方人员或服务提供SFTP服务时，需要对SFTP用户进行严格的权限控制。以下是一些关键步骤和建议：

1. 创建专门的SFTP用户和用户组

1. 创建SFTP用户组：

   bash

   sudo groupadd sftpusers

2. 创建SFTP用户：

   bash

   sudo useradd -s /bin/false -g sftpusers sftpuser
   sudo passwd sftpuser

2. 创建SFTP服务数据目录

1. 创建SFTP根目录：

   bash

   sudo mkdir /srv/sftp
   sudo chown root:sftpusers /srv/sftp
   sudo chmod 700 /srv/sftp

2. 创建用户专用目录：

   bash

   sudo mkdir /srv/sftp/sftpuser
   sudo chown sftpuser:sftpusers /srv/sftp/sftpuser
   sudo chmod 755 /srv/sftp/sftpuser

3. 配置SSH服务

1. 编辑SSH配置文件：

   bash

   sudo nano /etc/ssh/sshd_config

2. 添加以下配置：

   bash

   Subsystem sftp internal-sftp
   Match User sftpuser
       ChrootDirectory /srv/sftp
       X11Forwarding no
       AllowTcpForwarding no
       ForceCommand internal-sftp

3. 重启SSH服务：

   bash

   sudo systemctl restart sshd

4. 设置目录权限

1. 确保根目录不可写：

   bash

   sudo chmod 755 /srv/sftp

2. 创建可写子目录：

   bash

   sudo mkdir /srv/sftp/sftpuser/uploads
   sudo chown sftpuser:sftpusers /srv/sftp/sftpuser/uploads
   sudo chmod 775 /srv/sftp/sftpuser/uploads

3. 确保其他目录不可写：

   bash

   find /srv/sftp/sftpuser -mindepth 1 -exec chmod o-w {} \;

5. 使用脚本自动化设置

可以创建一个脚本来自动化上述步骤：

bash

#!/bin/bash

# 检查是否提供了用户名参数
if [ -z "$1" ]; then
  echo "Usage: $0 <username>"
  exit 1
fi

USERNAME=$1

# 创建SFTP用户组
sudo groupadd sftpusers

# 创建SFTP用户
sudo useradd -s /bin/false -g sftpusers $USERNAME
sudo passwd $USERNAME

# 创建SFTP根目录
sudo mkdir /srv/sftp
sudo chown root:sftpusers /srv/sftp
sudo chmod 700 /srv/sftp

# 创建用户专用目录
sudo mkdir /srv/sftp/$USERNAME
sudo chown $USERNAME:sftpusers /srv/sftp/$USERNAME
sudo chmod 755 /srv/sftp/$USERNAME

# 创建可写子目录
sudo mkdir /srv/sftp/$USERNAME/uploads
sudo chown $USERNAME:sftpusers /srv/sftp/$USERNAME/uploads
sudo chmod 775 /srv/sftp/$USERNAME/uploads

# 确保其他目录不可写
find /srv/sftp/$USERNAME -mindepth 1 -exec chmod o-w {} \;

# 配置SSH服务
sudo sed -i '/Subsystem sftp/a Match User $USERNAME\n    ChrootDirectory /srv/sftp\n    X11Forwarding no\n    AllowTcpForwarding no\n    ForceCommand internal-sftp' /etc/ssh/sshd_config

# 重启SSH服务
sudo systemctl restart sshd

echo "Setup for user $USERNAME completed."

运行脚本：

bash

chmod +x setup_user.sh
./setup_user.sh sftpuser

6. 安全措施

1. 使用强密码和密钥认证：

   • 为SFTP用户设置复杂且难以猜测的密码，并定期更换。

   • 启用公钥认证，相比密码认证，公钥认证更加安全。

2. 配置防火墙：

   • 使用 firewalld 或 ufw 配置防火墙，只允许必要的端口（如SFTP默认的22端口）通过，并限制访问来源IP地址。

3. 定期更新和维护：

   • 定期更新系统和软件包，确保及时应用安全补丁。

4. 启用日志记录和监控：

   • 开启SSH日志记录，监控用户的登录和操作行为，及时发现异常活动。

5. 最小权限原则：

   • 仅授予用户必要的文件夹访问权限，避免用户访问不相关的文件系统。

通过上述步骤，可以显著提高SFTP服务的安全性，有效防范潜在的安全漏洞。