
## 1. 总体架构与设计思路

通过 **独立 SSH 服务进程** + **Chroot 目录隔离** + **公钥认证**，构建轻量级多租户 SFTP 文件交换环境。

- **进程隔离**：新建 `sshd-sftp` 守护进程，监听独立端口，与系统 SSH（22端口）解耦，互不影响。
- **用户隔离**：通过 `Match Group sftpusers` 匹配用户组，强制将用户禁锢在 `/data/sftp/{用户名}` 目录下，无法访问系统其他路径。
- **认证强化**：禁用密码登录，仅允许公钥认证；同时生成随机用户密码仅作为系统账户备用（`/sbin/nologin` 禁止 Shell 登录）。
- **目录权限铁律**（Chroot 生效的关键）：
	- **根目录**（`/data/sftp/用户名`）必须属主 `root:root`，权限 `755`。用户对此目录**无写入权限**。
	- **上传目录**（`/data/sftp/用户名/upload`）属主改为用户自身，用户可在此读写文件。

## 2. 前置准备（环境初始化）

在执行脚本前，需确保系统满足以下条件：

|检查项|要求与命令|
|:-:|:-:|
|**Root 权限**|全程需 `root` 执行|
|**依赖工具**|确保已安装 `openssh-server`、`systemd`、`ss` 或 `netstat`|
|**用户组**|手动创建目标组：`groupadd sftpusers`|
|**存储目录**|确保 `/data` 分区有足够磁盘空间|

## 3. 部署流程

### 第一步：部署 SFTP 服务（运行 `add_sshd_sftp.sh`）
```请在此输入代码块语言
./add_sshd_sftp.sh <端口号>
# 示例：./add_sshd_sftp.sh 18190
```
**脚本内部逻辑说明**：
1. 生成 `/etc/ssh/sshd_config_sftp`，动态写入监听端口与 Match 规则。
2. 创建 `/etc/systemd/system/sshd-sftp.service`，以 `-D` 前台模式运行。
3. 自动检测端口占用；若配置文件语法错误，脚本会中断并报错。
4. 启用自启动并立即拉起服务。

**脚本详细内容**
```请在此输入代码块语言
#!/bin/bash
# add_sshd_sftp.sh - 配置独立 SFTP 服务（端口作为参数）

set -e

# 检查 root 权限
if [ "$EUID" -ne 0 ]; then
    echo "请以 root 权限运行此脚本"
    exit 1
fi

# 检查参数（必须提供一个端口号）
if [ $# -ne 1 ]; then
    echo "用法: $0 <端口号>"
    echo "示例: $0 18190"
    exit 1
fi
PORT="$1"

# 校验端口号是否合法（1-65535）
if ! [[ "$PORT" =~ ^[0-9]+$ ]] || [ "$PORT" -lt 1 ] || [ "$PORT" -gt 65535 ]; then
    echo "错误: 端口号必须是 1-65535 之间的数字"
    exit 1
fi

# 定义文件路径
SSHD_CONFIG="/etc/ssh/sshd_config_sftp"
SERVICE_FILE="/etc/systemd/system/sshd-sftp.service"

# 备份函数
backup_file() {
    local file="$1"
    if [ -f "$file" ]; then
        local backup="${file}.$(date +%Y%m%d%H%M%S).bak"
        cp -p "$file" "$backup"
        echo "已备份原文件至: $backup"
    fi
}

# 1. 生成 SSH 配置文件（端口动态插入）
echo "生成 SSH 配置文件: $SSHD_CONFIG (端口 $PORT)"
backup_file "$SSHD_CONFIG"
cat > "$SSHD_CONFIG" <<EOF
Port $PORT
Protocol 2

PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 注释掉组限制，改为显式列出用户
AllowGroups sftpusers
# AllowUsers sftp_u1 sftp_u2

PermitRootLogin no

Subsystem sftp internal-sftp

Match Group sftpusers
    ChrootDirectory /data/sftp/%u
    ForceCommand internal-sftp
    X11Forwarding no
    AllowTcpForwarding no
    PermitTTY no
EOF

chmod 600 "$SSHD_CONFIG"
echo "配置文件创建完成"

# 2. 生成 systemd 服务文件（内容固定，无需修改）
echo "生成 systemd 服务文件: $SERVICE_FILE"
backup_file "$SERVICE_FILE"
cat > "$SERVICE_FILE" <<'EOF'
[Unit]
Description=OpenSSH SFTP server daemon (port defined in config)
After=network.target

[Service]
ExecStart=/usr/sbin/sshd -f /etc/ssh/sshd_config_sftp -D
ExecReload=/bin/kill -HUP $MAINPID
KillMode=process
Restart=on-failure
RestartSec=10s

[Install]
WantedBy=multi-user.target
EOF

# 3. 重载 systemd 并启动服务
systemctl daemon-reload
echo "systemd 已重载"

if systemctl is-enabled sshd-sftp &>/dev/null; then
    echo "服务已启用，正在重启..."
    systemctl restart sshd-sftp
else
    echo "启用并启动 sshd-sftp 服务..."
    systemctl enable --now sshd-sftp
fi

# 4. 检查服务状态
echo "服务状态:"
systemctl status sshd-sftp --no-pager

echo "=========================================="
echo "SFTP 服务配置完成，监听端口: $PORT"
echo "请确保:"
echo "  1. 已创建用户组 sftpusers"
echo "  2. 每个 SFTP 用户的家目录为 /data/sftp/<用户名>"
echo "  3. 已按权限要求设置 chroot 目录（root:root 755）"
echo "  4. 已为用户部署公钥到 ~/.ssh/authorized_keys"
echo "  5. 防火墙开放端口 $PORT"
echo "=========================================="

```

### 第二步：添加用户（运行 `add_sftp_user.sh`）
**作用**：创建系统账户、生成目录结构、配置公钥。
```bash
./add_sftp_user.sh <用户名>
# 示例：./add_sftp_user.sh sftp_app1
```
**脚本内部逻辑说明**：
1. **用户创建**：将用户加入 `sftpusers` 组，Shell 设为 `/sbin/nologin`。
2. **密钥处理**（二选一）：
	- 若 `./sftp_keys/用户名` 公钥已存在，则直接复用（适合批量导入）。
	- 若不存在，自动生成 **RSA 4096** 密钥对，私钥保存至 `/root/sftp_private_keys/`（仅 root 可读），并随机生成私钥密码（Passphrase）。
3. **目录初始化**：
	- `chroot` 根目录（root 所有，只读）
	- `upload` 子目录（用户可写）
	- `.ssh` 目录及 `authorized_keys`（权限严格锁定为 700 / 600）
4. **密码回显**：生成 16 位随机用户密码与私钥密码，统一记录至 `/root/sftp_passwords.txt`。

## 5. 客户端连接方式

用户拿到**私钥文件** + **私钥密码** + **服务器 IP 和端口**后：

```bash
# 标准 SFTP 连接（指定端口）
sftp -oPort=18190 -i /path/to/用户_private_key 用户名@服务器IP
# 连接后自动进入 Chroot 环境，仅能看到 /upload 目录可写
```

脚本详细内容：
```bash
#!/bin/bash
# add_sftp_user.sh - 添加 SFTP 用户，自动生成密钥对（若需要）并配置公钥，生成随机用户密码和私钥密码

# 固定配置
SFTP_ROOT="/data/sftp"
SFTP_GROUP="sftpusers"
KEY_DIR="./sftp_keys"                    # 公钥存放目录
PRIVATE_KEY_DIR="/root/sftp_private_keys" # 私钥保存目录
PASSWORD_FILE="/root/sftp_passwords.txt"  # 保存密码的文件

# 检查是否以 root 执行
if [ $EUID -ne 0 ]; then
    echo "错误：请以 root 身份运行此脚本" >&2
    exit 1
fi

# 检查参数个数
if [ $# -ne 1 ]; then
    echo "用法：$0 <用户名>" >&2
    exit 1
fi
USERNAME="$1"

# 检查用户是否已存在
if id "$USERNAME" &>/dev/null; then
    echo "错误：用户 $USERNAME 已存在" >&2
    exit 1
fi

# 创建 SFTP 根目录（如果不存在）
mkdir -p "$SFTP_ROOT"

# 创建用户组（如果不存在），不指定 GID
if ! getent group "$SFTP_GROUP" &>/dev/null; then
    groupadd "$SFTP_GROUP"
    echo "已创建组 $SFTP_GROUP（GID 由系统分配）"
fi

# 创建用户（不自动创建家目录）
useradd -d "${SFTP_ROOT}/${USERNAME}" -s /sbin/nologin -g "$SFTP_GROUP" -M "$USERNAME"
if [ $? -ne 0 ]; then
    echo "错误：创建用户失败" >&2
    exit 1
fi
echo "用户 $USERNAME 创建成功"

# 生成随机用户密码（12位）
USER_PASSWORD=$(tr -dc 'A-Za-z0-9!@#$%^&*()_+' < /dev/urandom | head -c 12)
echo "${USERNAME}:${USER_PASSWORD}" | chpasswd
if [ $? -eq 0 ]; then
    echo "随机用户密码已设置"
else
    echo "警告：设置用户密码失败" >&2
fi

# --- 处理 SSH 密钥 ---
KEY_FILE="${KEY_DIR}/${USERNAME}"        # 公钥文件路径
PRIVATE_DIR="${PRIVATE_KEY_DIR}"         # 私钥存储目录
PRIVATE_KEY_FILE="${PRIVATE_DIR}/${USERNAME}_private_key"

# 检查公钥是否存在
if [ -f "$KEY_FILE" ]; then
    echo "使用现有公钥：$KEY_FILE"
    # 直接使用现有公钥，不生成新密钥对
    SSH_PUB_KEY=$(cat "$KEY_FILE")
else
    echo "公钥文件不存在，将自动生成新的密钥对"
    mkdir -p "$PRIVATE_DIR"
    # 生成随机私钥密码（16位，包含特殊字符）
    KEY_PASSPHRASE=$(tr -dc 'A-Za-z0-9!@#$%^&*()_+' < /dev/urandom | head -c 16)
    # 生成密钥对（RSA 4096 位），私钥加密
    ssh-keygen -t rsa -b 4096 -f "$PRIVATE_KEY_FILE" -N "$KEY_PASSPHRASE" -q
    if [ $? -ne 0 ]; then
        echo "错误：生成密钥对失败" >&2
        exit 1
    fi
    # 公钥文件复制到 KEY_DIR（以便未来复用）
    cp "${PRIVATE_KEY_FILE}.pub" "$KEY_FILE"
    chmod 644 "$KEY_FILE"
    # 设置私钥权限（仅 root 可读）
    chmod 600 "$PRIVATE_KEY_FILE"
    SSH_PUB_KEY=$(cat "$KEY_FILE")
    echo "密钥对已生成，私钥密码：$KEY_PASSPHRASE"
    # 保存私钥密码到文件
    if [ -n "$PASSWORD_FILE" ]; then
        echo "$(date): 用户 $USERNAME 私钥密码 $KEY_PASSPHRASE" >> "$PASSWORD_FILE"
    fi
fi

# --- 创建 chroot 目录结构 ---
USER_HOME="${SFTP_ROOT}/${USERNAME}"
mkdir -p "$USER_HOME"
chown root:root "$USER_HOME"
chmod 755 "$USER_HOME"

# 创建 upload 子目录
UPLOAD_DIR="${USER_HOME}/upload"
mkdir -p "$UPLOAD_DIR"
chown "${USERNAME}:${SFTP_GROUP}" "$UPLOAD_DIR"
chmod 755 "$UPLOAD_DIR"

# 创建 .ssh 目录并安装公钥
SSH_DIR="${USER_HOME}/.ssh"
mkdir -p "$SSH_DIR"
chown "${USERNAME}:${SFTP_GROUP}" "$SSH_DIR"
chmod 700 "$SSH_DIR"

echo "$SSH_PUB_KEY" > "${SSH_DIR}/authorized_keys"
chown "${USERNAME}:${SFTP_GROUP}" "${SSH_DIR}/authorized_keys"
chmod 600 "${SSH_DIR}/authorized_keys"

# 保存用户密码到文件（可选）
if [ -n "$PASSWORD_FILE" ]; then
    echo "$(date): 用户 $USERNAME 登录密码 $USER_PASSWORD" >> "$PASSWORD_FILE"
    chmod 600 "$PASSWORD_FILE"
fi

# 输出完成信息
echo "=========================================="
echo "SFTP 用户 $USERNAME 添加完成"
echo "家目录（chroot 根）：$USER_HOME"
echo "上传目录：$UPLOAD_DIR"
echo "公钥已配置，用户可使用对应私钥登录"
echo "用户登录密码：$USER_PASSWORD"
if [ -f "$PRIVATE_KEY_FILE" ]; then
    echo "私钥文件：$PRIVATE_KEY_FILE（请安全传输给用户）"
    echo "私钥密码（passphrase）：$KEY_PASSPHRASE"
fi
if [ -f "$PASSWORD_FILE" ]; then
    echo "所有密码已保存到 $PASSWORD_FILE"
fi
echo "=========================================="

```

通过 独立 SSH 服务进程 + Chroot 目录隔离 + 公钥认证，构建轻量级多租户 SFTP 文件交换环境。

搭建sftp服务及创建用户

通过 **独立 SSH 服务进程** + **Chroot 目录隔离** + **公钥认证**，构建轻量级多租户 SFTP 文件交换环境。

前端

本文介绍如何通过独立SSH服务进程、Chroot目录隔离和公钥认证构建安全的多租户SFTP环境。详细解析了进程隔离、用户权限控制、目录结构配置等关键技术点，并提供了自动化部署脚本，实现轻量级文件交换系统的快速搭建。包含服务配置、用户管理、密钥生成等完整流程，确保系统安全性和隔离性。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

搭建sftp服务及创建用户-腾讯云开发者社区-腾讯云

搭建sftp服务及创建用户

搭建sftp服务及创建用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐