как выполнить вход по sftp в конкретный каталог

1. Я следую руководству по ссылке https://www.cybrosys.com/blog/how-to-setup-sftp-server-on-ubuntu-20-04

и я могу успешно войти в sftp, но после входа, папка по умолчанию – “/”, и я не могу создать папку в “/”.
Что я хочу, так это чтобы при входе пользователя в sftp, папка по умолчанию была домашним каталогом пользователя, например, “/home/sftp_user” и чтобы можно было создавать папки в “/home/sftp_user”

файл /etc/ssh/sshd_config выглядит следующим образом:

Subsystem       sftp    internal-sftp

Match group sftp
ChrootDirectory /home
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

права доступа в каталоге /home выглядят следующим образом:

drwxr-xr-x  4 root      root 4096 Nov 19 17:59 .
drwxr-xr-x 20 root      root 4096 Oct 30  2023 ..
drwxr-x--- 35 abc       abc  4096 Nov 20 18:28 abc
drwxrwxrwx  8 sftp_user sftp 4096 Nov 20 18:32 sftp_user

Если я изменю ChrootDirectory /home на %h, то при входе
sftp [email protected]

Subsystem       sftp    internal-sftp

Информация, которую вы искали в Google о chroot, касалась команды, а не настройки конфигурации в файле sshd_config. Она не относится к тем настройкам SFTP, которые вы пытаетесь использовать.

Параметр файла sshd_config ChrootDirectory %h правильный.

• Пользователь должен существовать в системе аутентификации (для вас это, вероятно, локальная аутентификация с использованием файлов /etc/passwd и /etc/shadow).
• Поле домашнего каталога пользователя в записи /etc/passwd не должно быть пустым, и этот домашний каталог должен быть создан в файловой системе. Сам домашний каталог должен принадлежать пользователю и его основной группе (uid и gid в записи /etc/passwd), с правами 0711 или 0755. Мое предпочтение – 0711.
• Родительские директории выше домашнего каталога пользователя SFTP обычно принадлежат root, gid root, с правами 0755.
• Директория .ssh в домашнем каталоге пользователя имеет того же владельца/группу, что и домашний каталог, с правами 0700. Файлы в директории .ssh должны иметь права 0600. Некоторые файлы могут иметь чуть более открытые права 0644 или 0640, но другие файлы не должны быть доступны для чтения никем, кроме владельца. Для меня использование прав 0600 для всех файлов работает и легче запомнить.

С этими настройками ваш пользователь SFTP не сможет перейти в каталог вне домашнего каталога, но сможет читать и писать файлы в домашнем каталоге. (также может создавать и удалять подкаталоги в домашнем каталоге). Это означает, что пользователь может перезаписывать или удалять/создавать свой собственный файл authorized_keys в папке по умолчанию (~/.ssh/authorized_keys).

Мои тесты показывают, что пользователь SFTP может даже удалить свой собственный домашний каталог. Если они это сделают, они останутся в затруднительном положении – не смогут создать свой домашний каталог снова (нет прав на запись в родительском каталоге), и их следующая попытка входа завершится неудачей из-за отсутствия домашнего каталога.

Если вы не хотите, чтобы пользователь манипулировал своим файлом authorized_keys, вы можете использовать параметр AuthorizedKeysFile /path/to/authorizedkeys/%u, чтобы поместить файл где-то вне домашнего каталога пользователя, где они не могут к нему дотянуться. Если вы это сделаете, сам файл должен принадлежать пользователю SFTP и их основной группе, с правами 0600, и должен находиться в каталоге с правами 0711 или 0755 (предпочтительно 0711), но этот каталог может принадлежать root, группе root. Родительские директории этого каталога должны принадлежать root, группе root с правами 0755.

Путь в приведенном выше примере /path/to/authorizedkeys/%u является лишь примером. %u для имени файла означает, что оно совпадает с именем пользователя, что помогает поддерживать порядок ключей для нескольких пользователей SFTP.

Существует несколько дополнительных шагов конфигурации, если вы хотите, чтобы некоторые пользователи могли выполнять только SFTP, а другие пользователи могли выполнять интерактивные входы (например, системные администраторы). Я не включил эти шаги в этот ответ, но могу, если хотите.