《Sftp 服务限制用户访问权限.pdf》由会员分享，可在线阅读，更多相关《Sftp 服务限制用户访问权限.pdf（5页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、SftpSftp 服务限制用户访问权限服务限制用户访问权限Sftp 服务要想限制用户的访问权限（即sftp 服务用户只能访问特定的文件目录），那么系统的 OpenSSH 服务软件的版本必须是及以上版本才支持，如果低于该版本，就要首先升级 OpenSSH 版本。?第一步：查看第一步：查看 OpenSSHOpenSSH 软件版软件版?rootOracle-2#rpm-qa|grep ssh?或者：?rootOracle-2#ssh-V,OpenSSL01 Jul 2008?发现操作系统的 OpenSSH 软件是，低于版本，所以需要做升级。?第二步：下载最新的第二步：下载最新的 OpenSSHOpe
2、nSSH 软件软件?OpenSSH 是免费的，可以到官网上进行下载：当前最高版本是，我们就可以下载该版本：?下载的时候，我们需要看一看官方安装指导文档Installation instructions，里面有安装该版本的注意事项和安装步骤说明，最好仔细阅读一下。?第三步：确认第三步：确认 OpenSSHOpenSSH 软件安装条件软件安装条件?在官方安装指导文档中提到，安装需要具备两个条件：?You will need working installations of Zlib and OpenSSL.Zliboror greater(ealierversions have problems)
3、:?OpenSSLor greater:上面指出了，安装所依赖的两款软件Zlib 和 OpenSSL 的最低版本，如果服务器的软件版本不符合要求，就要先升级该两款软件。?首先我们需要确认服务器上Zlib 和 OpenSSL 软件的版本：?rootOracle-2#rpm-qa|grep-i zlib?rootOracle-2#rpm-qa|grep-i openssl?可以看到，Zlib 的版本是，OpenSSL 的版本是，满足安装的要求。?第四步：卸载第四步：卸载 OpenSSHOpenSSH 软件软件?安装之前，有下面几个工作需要完成：?（1）停 sshd 服务rootOracle-2#s
4、ervice sshd stopStopping sshd:OK?（2）备份 sshd 文件说明：在卸载之前需要将/etc/sshd 文件做个备份，安装完成后，需要再将备份的sshd 文件拷贝到/etc/目录中，这样可以保证升级完成后可以继续使用service sshd start/stop/restart的方式管理 sshd 服务，否则将不可使用。rootOracle-2#cp/etc/sshd/root/sshd?（3）卸载服务器上已经存在的OpenSSH 软件卸载 OpenSSH，通过 rpm-qa 命名查询出需要卸载的rpm 软件包，再用 rpm-e 命令卸载：?查询：rootOrac
5、le-2#rpm-qa|grep-i openssh?卸载：rootOracle-2#rpm-e-depsrootOracle-2#rpm-e-depsrootOracle-2#rpm-e-depsrootOracle-2#rpm-e-deps?（4）删除/etc/ssh/目录下的 ssh 文件rm-rf/etc/ssh/*?第五步：安装第五步：安装 OpenSSHOpenSSH 软件软件?解压下载的软件包#tar-zxvf?安装 OpenSSH 软件：进入解压出的文件夹，按照顺序执行下面的编译和安装命令：rootOracle-2#./configure prefix=/usr sysconf
6、dir=/etc/ssh with-pam with-md5-passwords mandir=/usr/share/manrootOracle-2#makerootOracle-2#make install?执行完成后，就可以用 ssh-V 命名查看 openssh 的版本，验证安装结果：rootOracle-2#ssh-V,OpenSSL01 Jul 2008?可以看到版本已经变成了，说明安装没有问题。?接下来，恢复 sshd 文件，将备份的 sshd 文件复制到/etc/目录下：rootOracle-2#cp/root/sshd/etc/sshd?测试 sshd 服务的启动和停止：roo
7、tOracle-2#service sshd restartStopping sshd:OKStarting sshd:OK?OK，到这里，OpenSSH 的升级就做完了。?注意：这样升级完成，在服务器关机启动后，sshd 服务不会自动启动，为了使sshd 服务在开机时自动启动，我们需要执行下面的命令：?rootOracle-2#chkconfig-add sshdrootOracle-2#chkconfig-level 123456 sshd on?这样开机后就可以自动启动sshd 服务了。?参考内容：?第六步：配置第六步：配置 sftpsftp服务用户的访问权限服务用户的访问权限?（1）创
8、建 sftp 用户的主根目录rootOracle-2#mkdir-p/home/sftprootOracle-2#chmod-R 755/home/sftp?（2）创建 sftp 用户组和一个 sftp 用户rootOracle-2#groupadd sftprootOracle-2#useradd-g sftp-d/home/sftp/blog blogrootOracle-2#passwd blog?（3）权限设置设置/etc/ssh/sshd_config配置文件，通过 Chroot 限制用户的根目录。?rootOracle-2#vi/etc/ssh/sshd_config#overri
9、de default of no subsystems#注释掉原来的 Subsystem 设置#Subsystemsftp/usr/libexec/sftp-server#启用 internal-sftpSubsystem sftp internal-sftp?#Example of overriding settings on a per-user basis#Match User anoncvs#X11Forwarding no#AllowTcpForwarding no#ForceCommand cvs server#限制 blog 用户的根目录Match User payChrootD
10、irectory/home/sftp/blog/X11Forwarding noAllowTcpForwarding noForceCommand internal-sftp?保存退出，重启 sshd 服务：rootOracle-2#service sshd restart?（4）测试 sftp 权限控制使用 blog 用户尝试登录 sftp，发现无法登陆，给出的提示也很难看懂，什么原因呢？?原来要使用 Chroot 功能实现用户根目录的控制，目录权限的设置非常重要，否则将会无法登陆。?目录权限设置上要遵循目录权限设置上要遵循 2 2 点：点：ChrootDirectory 设置的目录权限及其
11、所有的上级文件夹权限，属主和属组必须是root；ChrootDirectory 设置的目录权限及其所有的上级文件夹权限，只有属主能拥有写权限，也就是说权限最大设置只能是755。如果不能遵循以上 2 点，即使是该目录仅属于某个用户，也可能会影响到所有的SFTP 用户。?设置目录的属主和权限：rootOracle-2#chown root:root/home/sftp/home/sftp/blogrootOracle-2#chmod 755/home/sftp/home/sftp/blog?由于上面设置了目录的权限是755，因此所有非 root 用户都无法在目录中写入文件。我们需要在 Chroot
12、Directory 指定的目录下建立子目录，重新设置属主和权限。以blog 目录为例：?rootOracle-2#mkdir/home/sftp/blog/webrootOracle-2#chown blog:sftp/home/sftp/blog/webrootOracle-2#chown 775/home/sftp/blog/web?设置完成后，我们再用 blog 用户登录 sftp，发现这次可以正常登录了，并且可以访问的根目录控制在了/home/sftp/blog/下，达到了我们的要求。?补充：补充：上面是设置某一个 sftp 用户的访问权限，我们可以通过下面的配置，来设置某一个sftp 组的用户访问权限：Match group sftpChrootDirectory/home/sftp/X11Forwarding noAllowTcpForwarding noForceCommand internal-sftp