SFTP配置中如何实现多用户管理

SFTP多用户管理，这事儿在实际运维中其实挺常见的。要么是给外部厂商开个专用通道，要么是内部项目组之间需要共享空间，但彼此不能乱窜。方案说起来不复杂，但落地时踩坑的还真不少。今天咱们就把这事拆开揉碎了讲清楚，给你一套直接能用的方案。

架构选择与总体思路

底层逻辑很清晰：基于 OpenSSH 的 internal-sftp 子系统，通过 Match 指令匹配用户或用户组，把他们限制在各自的专属目录里。权限模型的核心就一句话——root 拥有 chroot 根目录，用户只能在子目录里写东西。这样既保证了隔离，又不会让 chroot 配置失败导致越权。

实际落地时，根据需求不同，有两种常见形态：

• 按用户完全隔离：每个用户一个独立的 chroot 根目录，彼此看不见也访问不了。这种方案最适合对外部厂商或者需要严格项目隔离的场景，推荐优先使用。
• 共享根目录下的多用户：所有用户都 chroot 到同一个根目录，但每个人只对自己的子目录有写权限。好处是管理集中、节省空间，适合内部协作环境。

快速落地步骤（以 CentOS 7/8 为例）

下面咱们手把手过一遍流程，主要就是安装、建用户、改配置、测试几步。

1. 安装与准备
先确保 OpenSSH 服务装好了：sudo yum install -y openssh-server
然后创建一个专门的 SFTP 用户组：sudo groupadd sftpusers

2. 创建用户与目录
以用户 alice 和 bob 为例，先建用户并加入组：

sudo useradd -m -G sftpusers alice
sudo passwd alice（bob 同理）

接着，根据方案不同，目录结构也不一样。

方案A：按用户隔离（推荐）

• 设定 chroot 根为用户家目录：sudo usermod -d /home/alice alice
• 家目录必须由 root:root 拥有，权限 755：sudo chown root:root /home/alice && sudo chmod 755 /home/alice
• 再建一个可写子目录：sudo mkdir -p /home/alice/upload && sudo chown alice:sftpusers /home/alice/upload && sudo chmod 755 /home/alice/upload

方案B：共享根目录

• 创建共享根和用户子目录：sudo mkdir -p /data/sftp/{alice,bob}
• 共享根和用户根目录都得是 root:root 且 755：sudo chown root:root /data/sftp /data/sftp/alice /data/sftp/bob && sudo chmod 755 /data/sftp /data/sftp/alice /data/sftp/bob
• 用户可写目录：sudo mkdir -p /data/sftp/alice/in && sudo chown alice:sftpusers /data/sftp/alice/in && sudo chmod 775 /data/sftp/alice/in

3. 配置 SSHD
老规矩，先备份：sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
然后启用 internal-sftp，把 Subsystem sftp /usr/libexec/openssh/sftp-server 改成：Subsystem sftp internal-sftp

方案A（按用户隔离，使用组策略），在文件末尾加上：

Match Group sftpusers
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

方案B（共享根目录，按用户指定 chroot），则按用户单独配置：

Match User alice
    ChrootDirectory /data/sftp/alice
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no
Match User bob
    ChrootDirectory /data/sftp/bob
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

4. 使配置生效与连通性测试
重启服务：sudo systemctl restart sshd
然后尝试连接：sftp alice@your_server_ip，sftp bob@your_server_ip
如果连不上，第一时间去看日志：/var/log/secure，绝大多数问题都能在这里找到答案。

权限与常见故障要点

这里有几个坑，特别值得留意：

chroot 目录规则
ChrootDirectory 指定的目录及其所有上级目录，必须由 root:root 拥有，权限不能超过 755（也就是组和其他用户不能有写权限）。这是最容易出问题的地方，一旦不满足，internal-sftp 会直接拒绝登录，报错 "Connection closed by remote host"。

可写目录设计
既然根目录不能写，那用户的业务目录该怎么办？很简单，在 chroot 根下面单独建一个子目录（比如 upload 或 in），把属主设为用户自己，组设为 sftpusers，权限用 755 或 775，视协作需求而定。这样既保证了安全，又满足了业务可写的需求。

SELinux 环境
如果系统开启了 SELinux，需要放行 chroot 家目录的上下文：sudo setsebool -P sftp_home_dir on。必要时还要调整文件上下文：sudo chcon -Rv 'system_u:object_r:sshd_home_t:s0' /home/alice（共享目录同理）。

日志与审计
日常运维中，记得多看看 /var/log/secure，里面记录了 SSH 和 SFTP 的认证与命令日志。如果需要更细粒度的控制，可以结合 PAM 做白名单或黑名单策略。

扩展与运维建议

认证方式
密码登录确实方便，快速交付时很实用。但生产环境还是建议启用公钥认证，甚至直接禁用密码登录（或者只对特定网段开放密码），安全性和自动化能力都会提升一大截。

访问控制
防火墙可以从网络层限制 22 端口的来源。如果条件允许，也可以为 SFTP 单独开一个端口，用 Match 指令做更细粒度的策略，比如限制源地址、用户或用户组。

运维与合规
保持 OpenSSH 的定期更新，为账号设置强密码策略或定期轮换密钥。按项目或厂商划分目录和组，定期审计日志和目录权限，这是最基础的合规操作。

按用户细粒度策略
不同用户或用户组，可以配置不同的带宽限制、磁盘配额甚至命令限制。借住 PAM、磁盘配额工具或第三方网关，完全可以在同一台机器上实现 "多租户" 的合规运营。