Linux 建立 SFTP 專用帳號，並設定 Chroot 環境教學

介紹如何在 Linux 系統上建立 SFTP 傳輸檔案專用的帳號，禁止該帳號以 SSH 登入，並以 chroot 將使用者限制在自己的家目錄中，加強系統安全性。

SFTP 是一種加密的檔案傳輸協定，功能跟 FTP 類似，都可以傳輸大量的檔案，不過比傳統的 FTP 更為安全。以下我們將介紹如何在 Linux 中建立 SFTP 檔案傳輸專用帳號，讓帳號只能用來傳輸檔案，不可以登入系統執行指令，增加系統的安全性。

設定僅允許以 SFTP 登入

若要讓使用者只能以 SFTP 傳輸檔案，可以透過使用者帳號的方式設定單一使用者，或是以群組來設定多個使用者帳號，選擇其中一種方式即可（或是混用亦可）。

以帳號設定

首先建立 SFTP 專用的使用者帳號（YOUR_ACCOUNT 請換為自己的帳號名稱）：

# 建立使用者
sudo adduser YOUR_ACCOUNT

接著編輯 /etc/ssh/sshd_config 這個 sshd 伺服器設定檔，在檔案的最後加上這一段針對單一帳號的特殊設定：

# 設定 YOUR_ACCOUNT 為 SFTP 專用帳號
Match User YOUR_ACCOUNT
  ForceCommand internal-sftp
  PasswordAuthentication yes
  ChrootDirectory /home/%u
  PermitTunnel no
  AllowAgentForwarding no
  AllowTcpForwarding no
  X11Forwarding no

其中的 YOUR_ACCOUNT 要替換為自己的 SFTP 專用帳號名稱。這些設定的作用就是讓此帳號不能使用 SSH 的各種功能，只能以 SFTP 傳輸檔案，並且以 chroot 的方式限制在自己的家目錄，無法看到系統上的其他檔案。

以群組設定

如果一次要建立多個 SFTP 專用帳號，可以用群組的方式來設定，首先建立一個 SFTP 專用群組：

# 新增系統群組
addgroup --system YOUR_GROUP

然後將所有的 SFTP 專用帳號都加入這個群組中，我們可以在新建帳號時就直接指定主要群組，或是將既有的帳號加入此群組：

# 建立新帳號並指定主要群組
adduser YOUR_ACCOUNT YOUR_GROUP

# 設定既有帳號的主要群組
usermod -g YOUR_GROUP YOUR_ACCOUNT

# 將既有帳號加入指定群組
usermod -a -G YOUR_GROUP YOUR_ACCOUNT

接著編輯 /etc/ssh/sshd_config 這個 sshd 伺服器設定檔，在檔案的最後加上這一段針對該 SFTP 群組的特殊設定：

# 設定 YOUR_GROUP 為 SFTP 專用群組
Match Group YOUR_GROUP
  ForceCommand internal-sftp
  PasswordAuthentication yes
  ChrootDirectory /home/%u
  PermitTunnel no
  AllowAgentForwarding no
  AllowTcpForwarding no
  X11Forwarding no

這一段設定跟上面單一使用者的設定幾乎相同，只不過這裡是將設定套用在 YOUR_GROUP 群組中的所有使用者。

重新啟動 sshd 伺服器

調整好 sshd 伺服器的設定檔之後，建議先測試一下設定檔是否有錯誤，以免採用錯誤的設定造成 sshd 伺服器無法啟動，把自己擋在伺服器之外：

# 測試 sshd 伺服器設定檔是否有錯誤
sudo sshd -t

若沒有任何錯誤訊息，就表示沒問題。

重新啟動 sshd 伺服器：

# 重新啟動 sshd 伺服器
sudo systemctl restart sshd

設定目錄權限

使用 chroot 的時候，根目錄的擁有者必須為 root，並且權限要是 755，所以這裡要設定好擁有者與權限：

# 設定 Chroot 根目錄擁有者與權限
sudo chown root:root /home/YOUR_ACCOUNT
sudo chmod 755 /home/YOUR_ACCOUNT

如果沒有設定正確的根目錄權限，client 端連線時就會出現類似這樣的錯誤。

client_loop: send disconnect: Broken pipe

而伺服器的紀錄檔則會顯示這樣的錯誤訊息：

sshd[869]: fatal: bad ownership or modes for chroot directory "/home/YOUR_ACCOUNT"

如果需要讓使用者上傳檔案，就要另外建立一個上傳專用的目錄，並設定好擁有者與權限：

# 建立上傳專用目錄
sudo mkdir /home/YOUR_ACCOUNT/upload
sudo chown YOUR_ACCOUNT:YOUR_GROUP /home/YOUR_ACCOUNT/upload

更改登入 Shell

在本機的設定部份，我們也可以更改這些 SFTP 專用帳號的登入 shell，避免這些帳號從本機登入。

如果不想讓使用者登入，可以將其登入 shell 改為 /usr/sbin/nologin，但是這個 shell 沒有在系統的 shell 清單之內，所以要先將其加入：

# 於 /etc/shells 新增 /usr/sbin/nologin
echo "/usr/sbin/nologin" | sudo tee -a /etc/shells

接著更改 SFTP 專用帳號的登入 shell：

# 更改指定帳號的登入 Shell
sudo chsh --shell /usr/sbin/nologin YOUR_ACCOUNT

這樣一來，該帳號不管從何處都無法登入主機執行任何指令。

若要查詢帳號的登入 shell，可以使用 getent 指令：

# 查詢指定帳號的登入 Shell
getent passwd YOUR_ACCOUNT | cut -d: -f7

登入測試

我們可以測試一下以 SFTP 專用帳號透過 SSH 登入，縱使帳號密碼都正確，還是無法登入系統，只會顯示這樣的錯誤訊息：

This service allows sftp connections only.

如果從本機登入的話，由於我們已經改了登入 shell，所以也是無法登入的，只會顯示這樣的錯誤訊息：

This account is currently not available.

參考資料：Tecmint、StackExchange、DigitalOcean、The Geek Stuff