sftp创建新账户并指定目录

首先

你的openssh-server版本至少得是4.8p1,因为配置权限需要版本添加的新配置项ChrootDirectory来完成。

如何查看自己服务器上的ssh版本？大家可以尝试以下命令：

# ssh -V 

步骤：

1. 我们需要创建一个用户组，专门用于sftp用户 

# groupadd sftpusers    ps我里的用户组是sftpusers

2. 我们创建一个用户user

# useradd -s /bin/false -G sftpusers user      ps注意这里我们将user用户的shell设置为/bin/false使他没有登陆shell的权限

# passwd user   ps设置user用户密码

3. 编辑/etc/ssh/sshd_config 

找到Subsystem这个配置项，将其修改为

Subsystem sftp internal-sftp 

然后再到文件最尾处增加配置设定属于用户组sftpusers的用户都只能访问自己的文件夹

Match Group sftpusers 

X11Forwarding no

AllowTcpForwarding no

ForceCommand internal-sftp

ChrootDirectory /data/sftp/%u     #需在 /data/sftp/  创建user文件夹,该文件夹就是登录的sftp用户目录

保存并关闭

4. 修改user用户所在文件夹的权限，让其属于root用户 

# chown root /data/sftp/user

5. 重启sshd服务 

# service sshd restart 

6. 测试用户账号

# ssh user@localhost 

ps连接会被拒绝,证明该用户没有ssh shell登录的权限

# sftp user@localhost 

登陆后你会发现你的账号无法切换到除自己本身目录之外的地方；ps或者登录失败，看下面可能出现的问题；

问题：

1,如果在链接服务器的时候出现下面的提示：

Write failed: Broken pipe 

Couldn't read packet: Connection reset by peer 

这个问题的原因是ChrootDirectory的权限问题，你设定的目录必须是root用户所有，否则就会出现问题。所以请确保sftp用户根目录的所有人是root,权限是750 或者755。

解决：设置user目录为root权限，# chown root:user /data/sftp/user     #chmod 750 /data/sftp/user

2,Sftp用户登录后不能在本目录 *** 作:

是因为登录后的目录是root权限，需将sftp账号赋予root权限， *** 作方法将  /etc/passwd 文件中对应的sftp的用户ID修改为0，这样就可以有权限 *** 作登录后的目录了(还有其他赋予权限方法，ps另行查找)。Eg：user:x:503:505::/home/darops:/bin/false  将503改为0

centos6.8环境

一、添加ssh端口

vim /etc/ssh/sshd_config

添加最后面两行，第一行要注释掉

#Port 22

#AddressFamily any

#ListenAddress 0.0.0.0

#ListenAddress ::

listenAddress 0.0.0.0:22

listenAddress 0.0.0.0:10220

#重启服务 查看监听

netstat -lntup|grep 22

二、修改配置

#vim /etc/ssh/sshd_config

#Subsystem sftp /usr/libexec/sftp-server //找到此行在前面加#注释掉

添加以下几行

Subsystem sftp internal-sftp

Match Group etcsftp #允许的组

ChrootDirectory %h #%h表示用户根目录全路径，也可以这样ChrootDirectory /home/%u

X11Forwarding no

AllowTcpForwarding no

ForceCommand internal-sftp

#重启服务

三、创建用户 #生产为/home/etcsftp

useradd -d /data/etcsftp -m etcsftp

usermod -s /bin/false etcsftp

#生产密码

echo 'xxxxxx'|passwd etcsftp --stdin

测试密码

echo 'xxxxxx'|passwd etcsftp --stdin

修改权限（不修改外网无法连接）

chown -R root.etcsftp /data/etcsftp/

chmod -R 755 /data/etcsftp/

在根目录下（/data/etcsftp/）建立存放文件的目录（在根目录没有读写权限）

并赋予etcsftp属主属组的权限

chown -R etcsftp.etcsftp handled untreated

四、添加用户

useradd -d /data/wukuangsftp -m wukuangsftp

usermod -s /bin/false wukuangsftp

测试密码

echo 'xxxxxx'|passwd wukuangsftp --stdin

生产密码

echo 'xxxxxx'|passwd wukuangsftp --stdin

修改权限（不修改外网无法连接）

chown -R root.wukuangsftp /data/wukuangsftp/

chmod -R 755 /data/wukuangsftp/

在根目录下（/data/wukuangsftp/）建立存放文件的目录（在根目录没有读写权限）

并赋予wukuangsftp属主属组的权限

mkdir upload

chown -R wukuangsftp.wukuangsftp upload

添加ssh配置/etc/ssh/sshd_config

Subsystem sftp internal-sftp

#etcsftp

Match Group etcsftp

ChrootDirectory %h

#wukiangsftp

Match Group wukuangsftp

ChrootDirectory %h

X11Forwarding no

AllowTcpForwarding no

ForceCommand internal-sftp

windows中可以使用Core FTP，FileZilla, WinSCP，Xftp来连接SFTP进行上传，下载文件，建立，删除目录等 *** 作。

以winscp软件为例：

1、将之前下载的sftp服务端解压缩，然后直接运行主程序。点“NEXT”按钮进行下面的 *** 作。

2、在许可协议窗口处填写“同意”并点“下一步”按钮继续。

3、在接下来的配置窗口中选择要安装的组件，从界面中可以看到包括client（客户端）与server（服务器端），实际上只需要服务器端，而客户端使用之前下载的WinSCP 3.8.2即可。选择相应的服务器端组件后点“下一步”完成安装

4、 接下来就要启动该服务了，通过“开始->运行->输入CMD后回车”进入到命令提示窗口，然后通过cd命令定位到c:\programfiles\openssh\bin目录。

5、依次执行mkgroup -l >>..\etc\group mkpasswd -l >>..\etc\passwd命令，这样你目前windows本地帐户中的用户就都可以登录该sftp服务器了，自对文件目录的访问权限和NTFS权限一致。此步骤相当于FTP中的建立访问帐号。

6、添加完各个访问帐户后就可以使用了。

SFTP:sftp是Secure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的加密方法。sftp 与 ftp 有着几乎一样的语法和功能。

---