まえがき
SFTP接続できるサーバを構築する機会があったのでそのときにやったことを書いておきます。
環境
| OS | CentOS 8.0.1905 64bit |
|---|---|
| webサーバ | Apache/2.4.37 |
| OpenSSH | OpenSSH_7.8p1 |
| クラウド | さくらクラウド |
前提
- ApacheまたはNginxなどのwebサーバをインストール済み。
- ドキュメントルートは/var/www/vhostsとする
新規ユーザ作成
SFTP接続専用のユーザを作成します
管理ユーザになる
sudo su -
ユーザ作成
useradd sftp-user
パスワードを設定
passwd sftp-user
SFTPユーザのグループ指定
SFTP専用ユーザーをApacheのグループに追加します。
Apacheユーザを確認
id apache
uid=48(apache) gid=48(apache) groups=48(apache)
SFTP専用ユーザをグループに追加
usermod -g 48 sftp-user
グループIDを確認
id sftp-user
uid=1001(sftp-user) gid=48(apache) groups=48(apache)
ssh鍵設定
SFTPで接続するための鍵を作成する。
sftp-userのホームディレクトリに移動
cd /home/sftp-user
.sshディレクトリを権限700に指定して作成
mkdir -pm 700 .ssh
所有者をsftp-userに変更
sudo chown sftp-user:sftp-user .ssh
sftp-userにログイン
su - sftp-user
.sshに移動
cd .ssh
鍵を作成
ssh-keygen -t rsa -b 4096
生成された鍵ファイルを確認
$ ls -la
合計 20
drwxr-xr-x 2 sftp-user sample-sftp 4096 12月 4 22:43 .
drwxr-xr-x 3 root root 4096 12月 4 22:37 ..
-rw------- 1 sftp-user nginx 3247 12月 4 22:40 id_rsa
-rw-r--r-- 1 sftp-user nginx 754 12月 4 22:40
id_rsa.pub
id_rsa.pubをauthorized_keysというファイルに転記する。
cat id_rsa.pub
vi authorized_keys
authorized_keysの権限を変更
chmod 600 authorized_keys
最終的にこうなっていればOK
$ ls -la
drwx------ 2 sftp-user sample-sftp 4096 12月 4 22:43 .
drwxr-xr-x 3 root root 4096 12月 4 22:37 ..
-rw------- 1 sftp-user nginx 754 12月 4 22:43 authorized_keys
-rw------- 1 sftp-user nginx 3247 12月 4 22:40 id_rsa
-rw-r--r-- 1 sftp-user nginx 754 12月 4 22:40 id_rsa.pub
sftp-userからexit
exit
SFTPできるディレクトリを制限
SFTPアカウントで接続した際、ルートからなんでも見れて更新できては何かと困るので制限をかける。
.sshディレクトリに移動
cd /etc/ssh
バックアップを作成
cp -p sshd_config sshd_org_config
ユーザの制限事項を追加
vi sshd_config
#sshd_configの一番下に追加
Match group apache
ChrootDirectory /var/www/
ForceCommand internal-sftp -u 0002
ログインするディレクトリの所有者をrootにする
chown root:root /var/www
vhost以下の所有者を全てapacheにする
chown -R nginx:nginx /var/www/vhosts
vhosts以下のファイルの権限を664にする
#カレントディレクトリ以下全てに適用
find ./ -type f -exec chmod 664 {} \;
vhosts以下のディレクトリの権限を775にする
find ./ -type d -exec chmod 775 {} \;
トラブルシューティング
- アップロードできない
アップロードするディレクトリは権限と所有者を以下の権限にする。それでもできない場合はログインするディレクトリにアップロードしようとしてないか確認する。ログインするディレクトリはrootの権限なのでアップロードできないです
権限: 775
所有者: apche(webサーバの実行ユーザ)
- ログインできない
SFTPでログインするディレクトリは所有者と権限を以下に変更する
権限: 755
所有者: root:root