SFTP で chroot させるための設定[UNIXやLinux]
(2014-11-04 18:59:26) by shinoda
CentOS ｻｰﾊﾞ(CentOS 6.5 + OpenSSH 5.3p1 という環境)で､特定ﾕｰｻﾞの SFTP 接続を chroot させるための設定のﾒﾓ｡
今回､FTP ｻｰﾊﾞを立ち上げていないｻｰﾊﾞに､外注の Web ﾃﾞｻﾞｲﾅｰさんにﾃﾞｰﾀのｱｯﾌﾟﾛｰﾄﾞをしてもらうことになった｡そのためだけに FTP ｻｰﾊﾞをｾｯﾄｱｯﾌﾟするのもなあ･･･ということで､SFTP で接続してもらうことにした｡となると､SFTP 接続してきた特定のﾕｰｻﾞだけ chroot するよう設定が必要だよね｡
つまり､そのﾕｰｻﾞは自分がﾃﾞｰﾀをｱｯﾌﾟﾛｰﾄﾞするﾃﾞｨﾚｸﾄﾘから､他の上位ﾃﾞｨﾚｸﾄﾘには移動できなくする･･･というわけね｡
もちろん当社に協力していただいているﾃﾞｻﾞｲﾅｰさんに､よそのﾃﾞｨﾚｸﾄﾘに移動して大事なﾃﾞｰﾀを盗み見たりするような人はいませんが､念の為にね(笑)
1.ﾃﾞｰﾀｱｯﾌﾟﾛｰﾄﾞ用のﾃﾞｨﾚｸﾄﾘ作成(root で)
(例)mkdir -p /var/hosts/www.exsample.jp ※ /var/hosts/www.exsample.jp の所有者は root であること!
2.chroot するﾕｰｻﾞの作成
(例)useradd -g 7000 -s /sbin/nologin -u 7001 -d /var/hosts/www.exsample.jp webusr01
※ﾊﾟｽﾜｰﾄﾞも忘れずに!
3.chroot 先のﾃﾞｨﾚｸﾄﾘに､webusr01 で触れる子ﾃﾞｨﾚｸﾄﾘを作っておく｡
(上の例では､/var/hosts/www.exsample.jp 自体は root ﾕｰｻﾞのものなので､webusr01 ではﾌｧｲﾙを書き込んだりできない)
(例)
mkdir /var/hosts/www.exsample.jp/www
chown webusr01 /var/hosts/www.exsample.jp/www
3.sshd の設定変更
上の例の webusr01 のように､頭に web と付くﾕｰｻﾞだけ chroot することにする
/etc/ssh/sshd_config の一番下に､以下の設定を追加｡
# override default of no subsystems
#Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp
Match User web*
ChrootDirectory ~
※最初に書かれていた Subsystem の行はｺﾒﾝﾄにする｡
4.sshd の再起動
(例)service sshd restart
これで､頭に web とついたﾕｰｻﾞは chroot されるようになる｡
ちなみに､色々ｸﾞｸﾞりながら設定したんだけど､ForceCommand で実行ﾌﾟﾛｸﾞﾗﾑを指定すれば Subsystem の設定を上書くので､Subsystems の設定行を直接変更することはないでぇ!つまり､
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server
Match User web*
ChrootDirectory ~
ForceCommand internal-sftp
こういう設定でいけるはずやでぇ!と書かれているｻｲﾄがあったんだけど､うちの環境では､
error: subsystem: cannot stat /usr/libexec/openssh/sftp-server: No such file or directory
subsystem request for sftp failed, subsystem not found
というｴﾗｰになったで｡(ForceCommand はちゃんと書いてたけど)
chroot 先には /usr/libexec/openssh/sftp-server は無いから当然 "No such file or directory" になるわけで｡
結局､手順例に書いたように､
#Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp
としなきゃﾀﾞﾒだったな｡うｰん･･･
あ､もしかして､webusr01 のﾛｸﾞｲﾝｼｪﾙに /sbin/nologin を設定してるから???
まあ､とりあえず望んでた動きにはなっているのでこのまま行くけど･･･
ｺﾒﾝﾄ投稿
次の記事へ >
< 前の記事へ
TOPへ戻る
Powered by
MT4i 3.0.8