linux - 限制 OpenSSH 只允许上传到特定目录

Question

我需要从多台服务器运行备份到另一台服务器上的单个帐户。如果其中一台公共(public)服务器遭到破坏，我不希望备份帐户上另一台服务器的文件受到破坏。

我需要做的是根据传入连接的 ssh key ，仅允许 SCP 访问特定目录。

我知道我可以在 authorized_keys 文件中为每个 key 设置 shell 和几个选项。 http://www.manpagez.com/man/8/sshd/ (向下滚动到“AuthorizedKeysFile”)

不知道如何设置internal-sftp命令只使用某个目录。我在机器上没有 root，所以我不能执行正常的 internal-sftp + chroot。

Answer 1

这样不行。

您需要做的是为每个备份主机设置一个迷你 chroot jail 。它只需要能够运行 sh 和 scp(/dev 只需要/dev/null 条目)。

使用 jailsh 作为每个帐户的登录 shell。

Jailsh 是一个 suid-root 登录 shell，它将 chroot jail 设置为由两个连续斜杠标记的目录，删除 root 权限，并执行/bin/sh。