一、实验背景
1、基于对线上服务器的保密和安全，不希望开发人员直接登录线上服务器，因为登录服务器的权限太多难以管控，如直接修改代码、系统配置等，希望能限制开发人员ssh登录机器，但是通过ftp/sftp上传代码文件。
2、项目中一些模块会调用sftp客户端程序，上传文件到服务器，实现相关功能，需要搭建好sftp服务端。
二、sftp服务简介
sftp是Secure FileTransferProtocol的缩写，安全文件传送协议，可以为传输文件提供一种安全的加密方法。
1）sftp 与 ftp 有着几乎一样的语法和功能
2）SFTP 为 SSH的一部分，是一种传输文件至服务器的安全方式
3）SFTP本身没有单独的守护进程，它必须使用sshd守护进程（端口号默认是22）来完成相应的连接操作
4）SFTP安全性非常高
5）SSH软件已经包含SFTP安全文件传输子系统
三、实验环境
系统操作: CentOS7.5 Mininal
IP ： 192.168.1.103
四、sft软件安装
# yum -y install openssh-server openssh-clients
# ssh -V
相比传统的FTP服务，SFTP 显得更加方便、安全，一般系统安装了 ssh 后，默认就安装了这个服务，我们只要简单的配置一下就可以了。
注：openssh-server 版本至少得 4.8p1, 因为配置权限需要版本添加的新配置项 ChrootDirectory 来完成。
五、配置sftp
SFTP 账号是基于 SSH 账号（也就是操作系统账户）的，默认情况下访问服务器的权限很大，怎样像FTP那样限制 SFTP 账号相关的访问权限呢？
1.我们需要创建一个用户组，专门用于sftp用户
# groupadd sftp
2. 创建一个用户test，附加到sftp组，不允许登录操作系统
# useradd -G sftp -s /bin/false test
# passwd --stdin test <<< "Test@123"
3. 编辑配SSH置文件
注释掉 Subsystem sftp /usr/libexec/openssh/sftp-server 行 ，添加一行 Subsystem sftp internal-sftp
注:如果这行文字存在且没有被注释掉，那么SFTP已经开启，所有可使用ssh的用户都可使用SFTP，但是这种方式有一个缺陷，就是用户在SFTP软件里面可以cd / 从而看到系统所有文件。
为什么实用 internal-sftp 而不用默认的 sftp-server？
因为这是一个进程内的 sftp 服务，当用户 ChrootDirectory 的时候，将不请求任何文件，且有更好的性能，不用为 sftp 再开一个进程。
# vim /etc/ssh/sshd_config
################################################
Subsystem sftp internal-sftp
Match Group sftp
chrootDirectory %h
ForceCommand internal-sftp
X11Forwarding no
AllowTcpForwarding no
#################################################
相关配置说明：
########################################################
# 匹配用户组，如果要匹配多个组，多个组之间用逗号分割
Match Group sftp
# 指定登陆用户到自己的用户目录 %为相应的家目录 %u为相应的用户名
ChrootDirectory %h
# 指定 sftp 命令
ForceCommand internal-sftp
#是否允许用户能使用端口转发
X11Forwarding no
AllowTcpForwarding no
##########################################################
4.修改test用户home文件夹的权限，让其属于root用户
# chown root:test /home/test
# chmod 750 /home/test
请确保sftp用户根目录的所有人是root, 权限是 750 或者 755。
注意以下两点原则：
4.1 chrootDirectory目录开始一直往上到系统根目录为止的目录拥有者都只能是 root，用户组可以不是 root。
4.2 chrootDirectory目录开始一直往上到系统根目录为止都不可以具有群组写入权限
chrootDirectory目录和所有上游目录属主只能是root，并且不能由任何其他用户写入，否则你将在日志中看到错误报错"chroot目录的错误所有权或模式"。
sftp使用chroot指定根目录后，根应是无法写入的，所以要在chrootDirectory目录下新建一个目录如upload，供test用户上传文件，这个目录所有者为test，所有组为sftp，所有者有写入权限，而所有组无写入权限，权限为700、750或者755。
如果 chrootDirectory/upload 权限为700、750或者755,那么只能是 test用户上传文件，如果其他用户属于sftp组，要使其也有上传权限，目录权限需设置为770。
# mkdir /home/test/upload
# chown test:sftp /home/test/upload
# chmod 750 /home/test/upload
根据上面例子，如果我们想要指定其他的 ChrootDirectory，操作就变得简单了！
我们以 ChrootDirectory 是/opt/sftp/chroot为例
# vim /etc/ssh/sshd_config
####################################
Subsystem sftp internal-sftp
Match Group sftp
chrootDirectory /opt/sftp/chroot
ForceCommand internal-sftp
X11Forwarding no
AllowTcpForwarding no
####################################
# mkdir -p /opt/sftp/chroot
# mkdir -p /opt/sftp/chroot/upload
# chown root:test /opt/sftp/chroot
# chown test:sftp /opt/sftp/chroot/upload
# chmod 750 /opt/sftp/chroot
# chmod 700 /opt/sftp/chroot/upload
5. 重启sshd服务
# systemctl restart sshd
# systemctl status sshd
六、登录和文件上传测试
测试登录
➤ ssh test@192.168.1.103
文件上传测试
直接上传到 ChrootDirectory，权限不足
上传文件到 ChrootDirectory/upload目录下，成功
从服务端验证文件上传，关注一下属主属组，为test
# sftp test@192.168.1.103
七、参考
Linux（CentOS）上配置 SFTP
https://segmentfault.com/a/1190000008578734
关于设置sftp 指定端口
http://www.voidcn.com/article/p-gmgqtfrv-ze.html
SFTP+OpenSSH+ChrootDirectory 设置详解
https://blog.zengrong.net/post/1616.html
OpenSSH的SFTP服务器设置
https://caibaoz.com/blog/2013/04/27/sftp_config_for_openssh/#sftp_config_for_openssh_2.1
Linux 配置SFTP，配置用户访问权限
https://blog.csdn.net/yanzhenjie1003/article/details/70184221
Linux Centos 6.6搭建SFTP服务器
https://blog.csdn.net/xinxin19881112/article/details/46831311
sftp的安装配置
https://blog.51cto.com/cmdschool/1771670
如何配置linux用户实现禁止ssh登陆机器但可用sftp登录
https://blog.csdn.net/qq_35440678/article/details/52788808
配置linux用户实现禁止ssh登陆但可用sftp登录
https://blog.51cto.com/moerjinrong/2149837
Linux下ssh/sftp配置和权限设置
https://my.oschina.net/sallency/blog/784022
OpenSSH: Difference between internal-sftp and sftp-server
https://serverfault.com/questions/660160/openssh-difference-between-internal-sftp-and-sftp-server
Secure chroot() remote file access via SFTP and SSH
https://blog.famzah.net/2011/02/03/secure-chroot-remote-file-access-via-sftp-and-ssh
什么是 AWS Transfer for SFTP？
https://docs.aws.amazon.com/zh_cn/transfer/latest/userguide/what-is-aws-transfer-for-sftp.html
sublime text3 安装、配置sftp插件
https://blog.csdn.net/pheona1990/article/details/52092799
