仕様
-
ドキュメントルート配下のみ操作することができます。
- ドキュメントルートは/var/www/htmlとします。
パスワード認証でログインします。
SSHは利用できません。
ユーザーを作成
useradd sftp-user
passwd sftp-user
usermod -d / sftp-user
usermod -g apache sftp-user
chown sftp-user:apache /home/sftp-user
ポイント：所有グループをapacheに設定しパーミッション775にすることで、apacheの権限エラーを防ぎます。
SFTP設定
vim /etc/ssh/sshd_config
修正内容
#PasswordAuthentication no //コメントアウト
#Subsystem sftp /usr/libexec/openssh/sftp-server //コメントアウト
Subsystem sftp internal-sftp
Match User sftp-user
ChrootDirectory /var/www/sftp
ForceCommand internal-sftp -u 0002
PasswordAuthentication yes
| パラメータ | 説明 |
|---|---|
| Match | userかgroupを指定して条件範囲を指定 |
| ChrootDirectory | chrootを行うディレクトリパス |
| ForceCommand | 強制コマンド設定 |
| PasswordAuthentication | パスワード認証を行うか |
補足：ForceCommand internal-sftp -u 0002 することでsftp-userがファイルをアップロードしたとき、
グループに権限が与えられます。未設定だと755だが、設定後775になります。
(グループに権限を与えることでapacheによる書き込みを許容します。)
修正後は再起動します。
systemctl restart sshd
ディレクトリ作成
ディレクトリ構成
まず抑えておきたいのがchrootに指定するディレクトリの権限は
root:rootのパーミッション755でなければならない
ということです。
この制約があることでディレクトリ構成が以下のようになります。
var
└ www
├ ドキュメントルート
└ chrootに指定するディレクトリ
└ 権限を委譲するためのディレクトリ（ドキュメントルートをマウントする）
ドキュメントルートの権限を変更
chown sftp-user:apache /var/www/html/
chmod 775 /var/www/html/
chrootに指定するディレクトリを作成
mkdir /var/www/sftp
chown root:root /var/www/sftp/
chmod 755 /var/www/sftp/
権限を移乗するためのディレクトリを作成
mkdir /var/www/sftp/sftp-user
chown sftp-user:apache /var/www/sftp/sftp-user
chmod 775 /var/www/sftp/sftp-user
権限を移乗するためのディレクトリを作らず、chroot直下にドキュメントルートを置くとrootユーザーしか操作できません。
ドキュメントルートをマウントする
mount -B /var/www/html /var/www/sftp/sftp-user
| オプション | 説明 |
|---|---|
| B | 任意のディレクトリを別のディレクトリ下にマウントできる |
/var/www/sftp/sftp-user/ の配下にドキュメントルートと同様のファイル、ディレクトリが追加されます。
またファイルをアップロードしたら、相互追加されます。
サーバーリブート対策
再起動するとマウント解除されてしまいますので設定します。
vim /etc/fstab
追加
/var/www/html /var/www/sftp/sftp-user none bind 0 0
fstabについて丁寧に書かれている記事はこちら
以上です。サーバー内を好き勝手されたくない時はSFTPユーザーを作成しましょう。