如何为CentOS系统SFTP用户配置目录权限限制？

在服务器管理中，安全始终是首要考虑因素，当您需要为特定用户提供文件传输服务时，使用SFTP（SSH File Transfer Protocol）是一个安全的选择，默认情况下，SFTP用户可能会浏览到服务器的其他目录，这带来了潜在的安全风险，为了加固系统，对CentOS上的SFTP用户进行目录限制，将其“囚禁”在指定的家目录中，是一项至关重要的操作,本文将详细介绍如何通过配置SSH服务来实现这一目标。

核心原理：ChrootDirectory

实现SFTP目录限制的核心在于SSH服务的ChrootDirectory指令，该指令的作用是在用户认证成功后，将其根目录“切换”（chroot）到指定的路径，一旦切换，用户将无法访问此路径之外的任何文件或目录，因为他们所看到的“根”已经不再是服务器的真实根目录，而是被限制的目录，这有效地创建了一个隔离的文件环境,极大地增强了服务器的安全性。

实施步骤详解

以下是在CentOS系统中限制SFTP用户目录的详细步骤。

第一步：创建专用用户组

为了方便管理，我们首先创建一个专门用于SFTP受限访问的用户组，这样，所有需要被限制的用户都可以加入这个组,便于统一应用配置。

sudo groupadd sftpusers

第二步：创建SFTP用户

我们创建一个新用户，并将其添加到刚才创建的sftpusers组中，为了防止该用户通过SSH登录到服务器获取Shell，我们将其登录Shell设置为/sbin/nologin或/usr/sbin/nologin。

# 创建用户 sftpuser1，并指定其主目录和用户组
sudo useradd -g sftpusers -s /sbin/nologin -d /home/sftpuser1 sftpuser1
# 为用户设置密码
sudo passwd sftpuser1

第三步：配置目录权限

这是最关键的一步，权限配置错误将导致用户无法登录。ChrootDirectory指定的目录及其所有上级目录，都必须由root用户拥有,且其他用户或组不可写。

1. 设置Chroot目录权限：用户的主目录（即ChrootDirectory）必须属于root。

   

   # 确保主目录所有者是root，权限为755
   sudo chown root:root /home/sftpuser1
   sudo chmod 755 /home/sftpuser1

2. 创建用户可写目录：由于主目录本身不可写，用户无法在其中上传文件，我们需要在主目录内创建一个用户拥有所有权的子目录,用于实际的数据存储和读写。

   # 在用户主目录下创建一个可写的uploads目录
   sudo mkdir /home/sftpuser1/uploads
   # 将uploads目录的所有权赋予该SFTP用户
   sudo chown sftpuser1:sftpusers /home/sftpuser1/uploads

第四步：修改SSH配置文件

我们需要编辑SSH服务的配置文件/etc/ssh/sshd_config，在文件末尾添加针对sftpusers组的规则。

sudo vi /etc/ssh/sshd_config

在文件末尾添加以下内容：

# 匹配sftpusers组的用户
Match Group sftpusers
    # 将用户的根目录限制在其主目录
    ChrootDirectory %h
    # 强制执行内部SFTP进程，并禁用其他功能
    ForceCommand internal-sftp
    # 禁用TCP转发
    AllowTcpForwarding no
    # 禁用X11转发
    X11Forwarding no

配置说明：

• Match Group sftpusers：表示接下来的配置仅对sftpusers组的成员生效。
• ChrootDirectory %h：%h是一个变量，代表用户的主目录,这会将每个用户限制在自己的家目录中。
• ForceCommand internal-sftp：强制用户登录后只能使用SFTP服务,无法获取Shell。

第五步：重启SSH服务

保存并关闭配置文件后,重启SSH服务使配置生效。

sudo systemctl restart sshd

为了方便理解,下表小编总结了关键的配置和权限设置：

配置项	推荐值/命令	说明
用户组	sftpusers	用于统一管理所有受限SFTP用户
用户Shell	/sbin/nologin	禁止用户通过SSH获取Shell访问权限
Chroot目录	chown root:root /home/user chmod 755 /home/user	必须由root拥有，且权限为755或更严格
用户可写目录	chown user:group /home/user/uploads	在Chroot目录内创建，所有权归用户
SSH配置	ChrootDirectory %h ForceCommand internal-sftp	核心限制指令，强制使用内部SFTP

完成以上步骤后，您就可以使用SFTP客户端（如FileZilla、WinSCP）以sftpuser1的身份登录服务器，您会发现，用户登录后所在的根目录就是/home/sftpuser1，无法向上浏览到其他目录，并且只能在uploads文件夹中进行文件的上传、下载和删除操作。

---

相关问答FAQs

Q1: 为什么 ChrootDirectory 指定的目录必须由 root 拥有且其他用户不可写？
A1: 这是SSH服务出于安全考虑的硬性要求，如果被chroot的目录本身可以被用户修改（拥有写权限），那么该用户就可能通过创建符号链接、设备文件等方式，尝试绕过chroot监狱，从而访问到本不应访问的系统文件，甚至可能导致权限提升攻击，将其所有权和权限严格控制，可以确保“监狱”本身的完整性,防止用户破坏其边界。

Q2: 我已经按照步骤操作，但SFTP客户端连接时提示“connection closed”或“permission denied”，该怎么办？
A2: 这通常是权限问题导致的,请重点检查以下几点：

1. Chroot目录权限：请再次确认用户的家目录（例如/home/sftpuser1）的所有者确实是root，并且权限为755或750,这是最常见的原因。
2. 上级目录权限：确保从根目录到用户家目录/home/sftpuser1路径上的所有目录（如, /home）都允许其他用户“执行”（即x权限），通常系统默认目录权限（如755）都满足此条件。
3. SELinux状态：如果您的CentOS开启了SELinux，它可能会阻止chroot操作，您可以临时关闭SELinux（setenforce 0）进行测试，如果问题解决，说明是SELinux策略导致的，您需要设置正确的SELinux布尔值（setsebool -P sshd_chroot_full_access on）来允许SSH chroot。