Linux创建用户只能访问某个目录

需求：创建一个用户，让他只能访问某个目录

useradd getfile
mkdir -p /home/weblogic/Oracle/Middleware/user_projects/domains/app/htdocs
让他只能访问这个目录。上层目录也不让其访问。

方案1 用 setfacl 实现：

setfacl -m u:getfile:–x /home/weblogic/
setfacl -m u:getfile:r-x /home/weblogic/Oracle/Middleware/user_projects/domains/app/htdocs
setfacl -m u:getfile:–x /home/weblogic/Oracle/Middleware/user_projects/domains/app
setfacl -m u:getfile:–x /home/weblogic/Oracle/Middleware/user_projects/domains/
setfacl -m u:getfile:–x /home/weblogic/Oracle/Middleware/user_projects/
setfacl -m u:getfile:–x /home/weblogic/Oracle/Middleware/
setfacl -m u:getfile:–x /home/weblogic/Oracle/

方案2 创建ftp用户只能访问/test目录（限制ftp用户越狱）

在安装vsftpd后不做配置的话，系统用户是可以向上切换到其他目录的。
在配置文件中，添加如下选项，使得ftp用户只能访问自己的家目录：

vim /etc/vsftpd/vsftpd.conf
chroot_local_user=YES
chroot_list_enable=NO
allow_writeable_chroot=YES

chroot_local_user是否将所有用户限制在主目录
chroot_list_enable是否启动限制用户（特例）的名单

如果要有几个用户特例，使test3用户能切换任意目录：
chroot_local_user=YES
chroot_list_enable=YES
allow_writeable_chroot=YES
chroot_list_file=/etc/vsftpd/chroot_list

cat /etc/vsftpd/chroot_list
test3

以上达到了限制ftp目录，但是ftp用户通过ssh登录，还能访问指定以外的目录，因此可以考虑加ssh登录黑名单，或使用ftp虚拟用户。

方案3 添加sftp用户只能访问/usr/local/sftp目录

需求：该sftp用户不能用于登陆，只能进行22端口的sftp连接
useradd test11
passwd test11

vim /etc/ssh/sshd_config

#注释掉这行
#Subsystem sftp /usr/libexec/openssh/sftp-server
#添加
Subsystem sftp internal-sftp #指定使用sftp服务使用系统自带的internal-sftp
Match User test11  #匹配用户，如果要匹配多个组，多个组之间用逗号分割
ChrootDirectory  /usr/local/sftp #指定test11用户只能ftp到本目录

Match User test2#设置两个账号
ChrootDirectory /home/aa

X11Forwarding no #这两行，如果不希望该用户能使用端口转发的话就加上，否则删掉
AllowTcpForwarding no
ForceCommand internal-sftp #指定sftp命令

特别注意：
/usr/local/sftp中的sftp目录权限是test11为可读写。

service sshd restart
测试结果为：test2能sftp访问指定目录，无法ssh登录。

---

参考：
https://blog.csdn.net/u010073893/article/details/52953911