在一些生產環境中，有時，使用者需要傳資料到伺服器，但是配置ftp服務比較麻煩，此時，我們可以為使用者建立sftp賬戶，讓使用者使用sftp來上傳下載所需的資料。Sftp賬號即為系統賬號，將賬戶密碼給使用者，使用者除了能登入sftp上傳下載資料外，還可以訪問系統中的其他目錄，由此，給我們的系統帶來了安全隱患，再次，我們需要配置使用者只能通過sftp登入系統下載上傳所需的資料。

1、建立sftp使用者（此處，我們以賬號dayi123為例進行配置）

 ~]# useradd dayi123
 ~]# echo dayi123 | passwd --stdin dayi123

2、設定sftp的賬戶許可權

設定sftp的賬號許可權需要通過修改ssh配置檔案進行，ssh配置檔案修改內容如下：

# Subsystem     sftp    /usr/libexec/openssh/sftp-server   #註釋掉此行並新增一下行

Subsystem sftp internal-sftp         

Match User dayi123                     #此處設定控制的使用者，也可以設定為組

         ChrootDirectory /home/dayi123  #允許使用者訪問的目錄,此處我們設定為使用者家目錄

         X11Forwarding no

         AllowTcpForwarding no

         ForceCommand internal-sftp

配置完成後需要重啟服務：

/etc/init.d/sshd restart

此處配置完我們用另一臺機器測試登入，會出現錯誤，使用win系統sftp客戶端同樣也不能正常登陸

[[email protected] ~]# sftp [email protected]

Connecting to 10.0.0.13...

[email protected]'s password:

Write failed: Broken pipe

Couldn't read packet: Connection reset by peer

這是由於沒有配置目錄的正確許可權，我們需要設定使用者訪問的目錄的許可權

3、設定允許使用者訪問目錄的許可權

   Sftp使用者訪問目錄需要設定所有者和所屬組的許可權均為root，並設定目錄的許可權為755，但此目錄下的檔案及目錄的許可權我們可根據自己的需求任意設定。

~]# chown root:root /home/dayi123/

 ~]# chmod 755 /home/dayi123/

 ~]# ll /home/

total 4

drwxr-xr-x 2 root root 4096 Sep  8 17:54 dayi123

~]# usermod dayi123 -s /sbin/nologin    #設定該sftp賬號不允許登入

~]# /etc/init.d/sshd reload

至此，我們的sftp配置已經完成,

4、測試sftp

使用linux測試：

~]# sftp [email protected]

Connecting to 10.0.0.13...

[email protected]'s password:

sftp> pwd

Remote working directory: /

sftp> cd ../

sftp> pwd

Remote working directory: /

使用windows客戶端winscp測試：

    登入後如下圖二所示，登入後的目錄定位到了指定的目錄”/home/dayi123”目錄，不能瀏覽系統的其他目錄，也不能切換目錄。

圖一 登入sftp客戶端

圖二 登入後圖

5、設定使用者上傳檔案許可權

          經過上面的設定後用戶可正常瀏覽下載目錄中的檔案，但是使用者無法上傳檔案。即使在/home/dayi123/下簡歷屬主為dayi123的目，使用者也無法上傳。此時需要在/home/dayi123/下建立屬主屬組為dayi123的目錄，並給/home/dayi123目錄設定acl許可權即可。

]# mkdir /home/dayi123/test

]# chown dayi123:dayi123 /home/dayi123/test

]# setfacl -m u:dayi123:rwx /home/dayi123

]# getfacl /home/dayi123/

getfacl: Removing leading '/' from absolute path names

# file: home/dayi123/

# owner: root

# group: root

user::rwx

user:dayi123:rwx

group::r-x

mask::rwx

other::r-x