通過設定使用者登入後只能訪問指定目錄來限制許可權

具體步驟如下：

1、新建使用者：

sudo useradd -m -d /home/ftpuser -s /usr/sbin/nologin ftpuser

設定使用者密碼：

sudo passwd ftpuser

sudo groupadd sftpusers
sudo usermod -G sftpusers ftpuser

需要註釋掉Subsystem，UsePAM ,並新增以上程式碼：

#Subsystem sftp /usr/lib/openssh/sftp-server  
#UsePAM yes  
Subsystem sftp internal-sftp
Match Group sftpusers
ChrootDirectory %h

ChrootDirectory 則為允許訪問的sftp目錄（sftp登入後的預設目錄）

%h 是使用者主目錄，也可以寫指定路徑；如果只想控制單一使用者，可以用以下代替：

#Subsystem sftp /usr/lib/openssh/sftp-server  
#UsePAM yes  
Subsystem sftp internal-sftp
Match User ftpuser
ChrootDirectory &h
#ChrootDirectory /home/ftpuser
 

sudo /etc/init.d/ssh restart

必須滿足以下條件：

ChrootDirectory設定的目錄許可權及上級，屬主和屬組必須是root

ChrootDirectory設定的目錄許可權及上級，只有屬主能擁有寫許可權，最大隻能是755

sudo chown root:root /home/ftpuser
sudo chmod 755 /home/ftpuser

sudo mkdir /home/ftpuser/upload
sudo chmod 777 /home/ftpuser/upload
 

使用ssh登入，測試nologin是否起作用

su ftpuser

sftp [email protected]

示例一則：

環境Ubuntu Server 13.04 OpenSSH_6.1p1

建立使用者，-M不建立使用者主目錄，並指定shell為nologin，使其不能登入ssh

sudo useradd -M -s /usr/sbin/nologin maiyo
sudo passwd maiyo

sudo vim /etc/ssh/sshd_config
#Subsystem sftp /usr/lib/openssh/sftp-server
#UsePAM yes
Subsystem sftp internal-sftp
Match User maiyo
ChrootDirectory /usr/tomcat
sudo /etc/init.d/ssh restart

sudo chmod 755 /usr/tomcat

修改使用者sftp可操作的目錄許可權

sudo chmod -R 777 apache-tomcat-7.0.47