Debian 8 SFTP chroot

Question

Задача любым способом сделать несколько sftp юзеров, а точнее 4 /var/www/www-root/data/www/ - в эту папку 2 (один только просматривает всё что в этой папке и подпапке, второй редактор хоть с правами рута). /var/www/www-root/data/www/site.local и сюда 2 аналогичных юзера запертых в этой папке.

Перепробовал уже всё и симлинки и маунты, но всё беда с правами - или чурут ломается и не пускает юзера с 777, или пускает в 755 но не дает ни создавать ни удалять.

Пробовал и без чурута в родительской папке - тоже то один из юзеров ломается, то редактировать не даёт((

Версию дебиана сменить не могу. Возможен конфликт SFTP subsystem: internal-sftp не существует, нужно использовать /usr/lib/openssh/sftp-server.

Или я чтото совсем ничего не понимаю... получается хожу по кругу - один юзер работает, другие нет, второй заработал - первый сломался... пробовал acl и MySecureShell (оно вобще не завелось) и другие доступные для 8

• Solt: это же почти ssh. куда юзерам в шеле ходить можно, то же и по sftp увидят. так что прятать тяжко будет, а дать разрешения на запись только одной папки в чем проблема? Сделай им просто home directory на нужные папки и пусть только в них сидят
• Solt: ru.stackoverflow.com/questions/424663/… тут всё написано
• Карман Карманыч: так терминал не открывается точнее отрубается в конфиге в Match User

Answer 1

Нет необходимости делать несколько sftp пользователей. Достаточно запустить несколько sftp серверов, вход на которые осуществлялся бы по разным сертификатом, и одни разрешали запись, а другие - нет. Запись в таком сценарии запрещается на уровне конфигурации подсистемы сервера ssh, например

Subsystem sftp internal-sftp -P write

• Карман Карманыч: Возможен конфликт SFTP subsystem: internal-sftp не существует, нужно использовать /usr/lib/openssh/sftp-server
• user7860670: ¿Что значит "возможен конфликт "? internal-sftp должен же присутствовать на Debian 8, откуда там взяться конфликтам
• Карман Карманыч: хз но сабсистем /usr/lib/openssh/sftp-server а подругому неработает - гпт мне уже все возможные варианты предложил

Answer 2

Я использовал acl для этой задачи. Оно позволяет каждому пользователю назначить права на папку независимо и наследовать их на файлы и папки в ней.

• Карман Карманыч: асл уже и так и сяк и всё никак(