複数ユーザーにchrootで設定したディレクトリへファイルをアップさせたい

Question

前提・実現したいこと

・複数ユーザーにWEBサーバの画像ファイルが保存されているディレクトリへWinscpなどのリモート接続ツールでファイルをアップロードさせたい
・複数ユーザーはWEBサーバの画像ファイルが保存されているディレクトリ配下のディレクトリ以外へ移動できないようにさせたい（画像ファイルが保存されているディレクトリより上のディレクトリへの移動は禁止させたい。）

試したこと

【方法①】ユーザーAのホームディレクトリ/home/userA配下にimgというディレクトリを作成し、そのディレクトリを公開ディレクトリ配下にあるディレクトリ/opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/imgとしてシンボリックリンクを作成する
（/opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/img配下に画像ファイルを配置）
→ この方法の場合、ユーザーBというユーザーがいた場合、ユーザーBのホームディレクトリ/home/userB配下にimgというディレクトリを作成し、/opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/imgとしてシンボリックリンクが作成できない

【実行するコマンド】
# mkdir -p /home/userA/img
# chown userA:src /home/userA/img
# chmod 775 /home/userA/img
# ln -s /home/userA/img /opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/img

【方法②】画像ファイルが保存されているディレクトリをchrootディレクトリとして指定する
ディレクトリが仮に以下の場合、/opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/sss 全階層のディレクトリのオーナーをroot、
パーミッションを755へ変更しないといけないので、セキュリティ的に脆弱になってしまう

やり方は後者のほうが簡単なんでしょうけど。。。
複数ユーザーとなると方法2のやり方しかないんですかね。

補足情報（FW/ツールのバージョンなど）

OS　:　CentOS7

Comments

[otn]

> ・ユーザーAのホームディレクトリ/home/userA配下にimgというディレクトリを作成し、そのディレクトリを公開ディレクトリ配下にある実ディレクトリへシンボリックリンクで紐づける

この日本語だと、どっちがシンボリックリンクか不明です。コマンドを書きましょう。

> ファイルをアップロードさせたい

Apacheのことが書いてあると言うことは、アップロードさせるウェブアプリを作るという事でしょうか？

全般的に、何をしたいのか具体的な記述が少なくて、具体的に何をしたいのか不明です。

[pond]

失礼いたしました。内容を修正いたしました。

[otn]

> アップロードさせるウェブアプリを作るという事でしょうか？
が不明です。

ウェブアプリを作るのであれば、要件通りに作ればば良いだけの話で、シンボリックリンクだのchrootだのどうでも良いことです。

[pond]

アプリは作りません。

[pond]

Winscpを使って画像ファイルをサーバへアップさせます。

[otn]

scpという語が、質問文中に全く現れていません。
また、そうすると、apacheは無関係ですね。

[otn]

> 複数ユーザーはWEBサーバの画像ファイルが保存されているディレクトリ配下以外へ移動できないようにさせたい

「移動できない」の意味が不明。特定ディレクトリ /opt/qqq/yyy/jjj/eee/ooo/ppp/iii/nnn/img 以外にアップロードさせたくないと言うことですか？そうじゃないとすると、「何をどこからどこへ移動させるのを禁止したい」という風に書いてください。

Answer 1

配下のディレクトリ以外へ移動できないようにさせたい

これはどのレベルを要求しているのでしょうか。
普通にSSH(SCP,SFTP含む)のアクセスを許可すると、/etc 等のオープンなところはアクセスし放題です。それが許容できないのであれば、chrootは必須になるかと思います。
※SSHではなくFTPS(FTP+SSL)にしても事情はあまり変わらないでしょう。

逆にコンテンツディレクトリだけ保護できれば良いのであれば、例えば /home/img をパーミッション的に共有できるようにして ( 例えば 1777 にして ) アクセスさせれば良いと思います。
※Apacheからは、シンボリックリンク経由、あるいは Alias の設定で /home/img の画像にアクセスする。

で、もし chroot が必須だとして、コンテンツディレクトリの深い所に chroot させるのは現実的ではないので、上記案と折衷にするのが素直な気がします。
例えば /jail を chroot 対象のディレクトリだとして、/jail/home を作った上で mount -o bind /home /jail/home とすれば、またユーザのアクセスを internal-sftp に限定すれば、アクセスしたユーザは /jail に閉じ込められた中での /home にしかアクセスできません。( mount -o bind の効果で、/home と /jail/home は等価 )
上記 /home/img と自分のホームディレクトリにアクセス先が限定されることになります。