Linux SSH Sftp 限制用户访问权限

通过设置用户登录后只能访问指定目录来限制权限

具体步骤如下：

1、新建用户：

sudo useradd -m -d /home/ftpuser -s /usr/sbin/nologin ftpuser

nologin要事先确认位置，通常在/usr/sbin或/sbin下（可在/etc/passwd中查看sshd的nologin配置）

设置用户密码：

sudo passwd ftpuser

2、新建用户组，专门用于sftp

sudo groupadd sftpusers
sudo usermod -G sftpusers ftpuser

3、修改/etc/ssh/sshd_config文件

需要注释掉Subsystem，UsePAM ,并添加以上代码：

#Subsystem sftp /usr/lib/openssh/sftp-server  
#UsePAM yes  
Subsystem sftp internal-sftp
Match Group sftpusers
ChrootDirectory %h

ChrootDirectory 则为允许访问的sftp目录（sftp登录后的默认目录）

%h 是用户主目录，也可以写指定路径；如果只想控制单一用户，可以用以下代替：

#Subsystem sftp /usr/lib/openssh/sftp-server  
#UsePAM yes  
Subsystem sftp internal-sftp
Match User ftpuser
ChrootDirectory &h
#ChrootDirectory /home/ftpuser

保存，并重启ssh

sudo /etc/init.d/ssh restart

4、修改目录权限

必须满足以下条件：

ChrootDirectory设置的目录权限及上级，属主和属组必须是root

ChrootDirectory设置的目录权限及上级，只有属主能拥有写权限，最大只能是755

sudo chown root:root /home/ftpuser
sudo chmod 755 /home/ftpuser

之后可以在/home/ftpuser下建立拥有全部权限的文件夹，进行sftp操作

sudo mkdir /home/ftpuser/upload
sudo chmod 777 /home/ftpuser/upload

5、测试

使用ssh登录，测试nologin是否起作用

su ftpuser

输入密码后提示：This account is currently not available.
登录sftp，查看是否只能访问指定目录

sftp ftpuser@localhost

示例一则：

环境Ubuntu Server 13.04 OpenSSH_6.1p1

创建用户，-M不创建用户主目录，并指定shell为nologin，使其不能登录ssh

sudo useradd -M -s /usr/sbin/nologin maiyo
sudo passwd maiyo

配置sshd_config

sudo vim /etc/ssh/sshd_config
#Subsystem sftp /usr/lib/openssh/sftp-server
#UsePAM yes
Subsystem sftp internal-sftp
Match User maiyo
ChrootDirectory /usr/tomcat
sudo /etc/init.d/ssh restart

修改Chroot目录权限，使其满足属主、属组为root，同时最大权限755

sudo chmod 755 /usr/tomcat

效果如下图：

修改用户sftp可操作的目录权限

sudo chmod -R 777 apache-tomcat-7.0.47

最后测试通过完成