Como desativar o subsistema sftp para um usuário ou grupo específico?

Question

Em um servidor Linux executando OpenSSH ,

Como posso desativar o acesso sftp (o subsistema sftp) para um usuário / grupo específico?

O usuário só deve poder acessar um shell, mas não tem acesso sftp.

Editar:

O objetivo é fornecer aos usuários uma chave ssh que só pode ser usada para executar um comando específico (usando a opção command="..." em authorized_keys). E eles não deveriam poder usar o sftp. Já foi tomado cuidado ao usar a opção command="..."?

    

Answer 1

Se você estiver usando o subsistema SFTP, onde ele gera um processo separado, você pode criar um grupo sftp e permitir somente a execução do binário sftp-server para esse grupo. Não será possível fazer isso com o mais novo daemon sftp internalizado, que é especificado com internal-sftp .

Se eles tiverem acesso ao shell, eles ainda poderão scp. Você tem um objetivo específico em mente?

Editar

Se você quiser restringir seu usuário a somente executar ou utilizar um programa específico, eu provavelmente recomendaria um wrapper de shell. command= pode funcionar, mas parece mais provável que seja falível. Eu faria mais testes para ter certeza.

Um invólucro de shell, como scponly , permitirá que o usuário final scp. Eu modifiquei a fonte de scponly antes de permitir apenas a execução do CVS, por exemplo. Isso também pode ser feito com um script de shell, mas é mais fácil cometer erros se você não entender completamente o escopo do que você está tentando fazer.