Configurar contas de usuário somente SFTP no CentOS 7

• Pré-requisitos
• Etapa 1: criar um grupo sFTP dedicado e um usuário sFTP dedicado
• Etapa 2: Modifique a configuração do serviço sshd
• Etapa 3: Crie um diretório dedicado para o usuário somente sFTP
• Etapa 4: criar mais usuários somente sFTP

Em certas ocasiões, um administrador de sistemas pode precisar criar uma conta de usuário e restringir seu acesso para gerenciar apenas seus próprios arquivos via sFTP, mas não conseguir fazer login no sistema usando outros meios. A solução apresentada neste artigo mostrará como realizar essa tarefa.

Pré-requisitos

Para obter experiência prática, você precisa implantar uma instância do servidor Vultr CentOS 7 x64. Observe que as instruções para outras distribuições Linux podem ser diferentes.

Além disso, todos os comandos neste artigo são adequados para o root; como tal, você precisaria sudo privilegesse estivesse usando um usuário não root.

Etapa 1: criar um grupo sFTP dedicado e um usuário sFTP dedicado

groupadd sftpusers
useradd -g sftpusers -s /sbin/nologin user1
passwd user1

Aqui, o grupo sftpusersé um grupo sFTP dedicado, o usuário user1é um usuário sFTP dedicado que é proibido fazer login usando SSH.

Etapa 2: Modifique a configuração do serviço sshd

Abra o arquivo de configuração do serviço sshd:

vi /etc/ssh/sshd_config

Encontre a linha:

Subsystem sftp /usr/libexec/openssh/sftp-server

Substitua por:

Subsystem sftp internal-sftp

Anexe as seguintes linhas ao final do arquivo. O nome do grupo sftpusersdeve ser o mesmo que você especificou anteriormente.

Match Group sftpusers
X11Forwarding no
AllowTcpForwarding no
ChrootDirectory %h
ForceCommand internal-sftp

Salve e saia:

:wq

Reinicie o serviço sshd para efetivar suas alterações.

systemctl restart sshd.service

Etapa 3: Crie um diretório dedicado para o usuário somente sFTP

Você precisa especificar um diretório para o usuário somente sFTP e garantir que este usuário possa brincar apenas neste diretório:

chown -R root /home/user1
chmod -R 755 /home/user1
mkdir /home/user1/files
chown user1. /home/user1/files

Agora, o usuário user1pode apenas carregar e / ou baixar arquivos no diretório /home/user1/files, nunca pode tocar nos arquivos de outros usuários.

Etapa 4: criar mais usuários somente sFTP

Se você precisar de mais usuários somente sFTP, poderá criá-los da mesma maneira:

useradd -g sftpusers -s /sbin/nologin user2
passwd user2
chown -R root /home/user2
chmod -R 755 /home/user2
mkdir /home/user2/files
chown user2. /home/user2/files

É isso aí. Cada conta de usuário criada dessa maneira será negada se você a usar para efetuar login no sistema. Essas contas de usuário podem ser usadas apenas em programas sFTP.