共计 1946 个字符，预计需要花费 5 分钟才能阅读完成。
在 某些环境 中，系统管理员想要允许极少数用户在可以传输文件到 Linux 机器中，但是不允许使用 SSH。要实现这一目的，我们可以使用SFTP，并为其构建 chroot 环境。
SFTP & chroot 背景：
SFTP是指 SSH 文件传输协议（SSH File Transfer protocol）或安全文件传输协议（Secure File Transfer Protocol），它提供了可信数据流下的文件访问、文件传输以及文件管理功能。当我们为 SFTP 配置 chroot 环境后，只有被许可的用户可以访问，并被限制到他们的 家目录 中，换言之：被许可的用户将处于牢笼环境中，在此环境中它们甚至不能切换它们的目录。
通过配置 SSH 深刻理解 Puppet 的语法及工作机制 http://www.linuxidc.com/Linux/2013-07/87882.htm
Ubuntu 下 SSH 安装或设置 http://www.linuxidc.com/Linux/2013-07/87368.htm
SUSE 启用 SSH 和 FTP http://www.linuxidc.com/Linux/2010-08/28286.htm
使用 SSH 客户端登陆 Linux 之后出现乱码的解决方案 http://www.linuxidc.com/Linux/2010-08/28141.htm
详解 Linux 中 SSH 远程访问控制 http://www.linuxidc.com/Linux/2013-07/88048.htm
在本文中，我们将配置RHEL 6.X 和 CentOS 6.X 中的 SFTP Chroot 环境。我们开启一个用户帐号‘Jack’，该用户将被允许在 Linux 机器上传输文件，但没有 ssh 访问权限。
步骤：1 创建组
[root@localhost ~]# groupadd sftp_users步骤：2 分配附属组 (sftp_users) 给用户
如果用户在系统上不存在，使用以下命令创建（LCTT 译注：这里给用户指定了一个不能登录的 shell，以防止通过 ssh 登录）：
[root@localhost ~]# useradd -G sftp_users -s /sbin/nologin jack
[root@localhost ~]# passwd jack对于 已经存在的用户，使用以下 usermod 命令进行修改：
[root@localhost ~]# usermod –G sftp_users -s /sbin/nologin jack注意 ：如果你想要修改用户的 默认家目录 ，那么可以在 useradd 和 usermod 命令中使用‘-d’选项，并设置 合适的权限。
步骤：3 现在编辑配置文件“/etc/ssh/sshd_config”
# vi /etc/ssh/sshd_config
#comment out the below line and add a line like below
#Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp
# add Below lines at the end of file
Match Group sftp_users
X11Forwarding no
AllowTcpForwarding no
ChrootDirectory %h
ForceCommand internal-sftp此处：
- Match Group sftp_users – 该参数指定以下的行将仅仅匹配 sftp_users 组中的用户
- ChrootDirectory %h – 该参数指定用户验证后用于 chroot 环境的路径（默认的用户家目录）。对于用户 Jack，该路径就是 /home/jack。
- ForceCommand internal-sftp – 该参数强制执行内部 sftp，并忽略任何~/.ssh/rc 文件中的命令。
重启 ssh 服务
# service sshd restart步骤：4 设置权限：
[root@localhost ~]# chmod 755 /home/jack
[root@localhost ~]# chown root /home/jack
[root@localhost ~]# chgrp -R sftp_users /home/jack如果你想要允许 jack 用户上传文件，那么创建一个上传文件夹，设置权限如下：
[root@localhost jack]# mkdir /home/jack/upload
[root@localhost jack]# chown jack. /home/jack upload/步骤：5 现在尝试访问系统并进行测试
尝试通过 ssh 访问系统
正如下图所示，用户 jack 通过 SFTP 登录，而且因为 chroot 环境不能切换目录。
现在进行 上传和下载 测试，如下图：
正如上图所示，jack 用户的上传下载功能都工作得很好。
