comaes/sftp-s3fs

镜像概述

本镜像基于Debian和Alpine系统构建，集成OpenSSH与s3fs_fuse工具，实现安全的SFTP文件传输功能，并支持将用户上传的文件自动同步到AWS S3存储桶，适用于需要结合文件传输与云存储的场景。

核心功能

1. 灵活用户管理：支持通过命令行、配置文件或STDIN定义用户，可设置密码（含加密）、UID/GID及目录
2. S3同步能力：集成s3fs_fuse，将指定用户目录与AWS S3桶同步
3. 安全认证：支持SSH密钥认证（无需密码）和加密密码登录
4. 自定义扩展：允许在/etc/sftp.d/目录放置脚本，容器启动时自动执行
5. 目录挂载：支持绑定外部目录到用户主目录，满足数据共享需求

使用场景

• 企业内部安全文件传输与云备份
• 个人用户将本地文件通过SFTP上传并自动同步到S3存储
• 自动化工作流中文件传输与云存储的整合

配置说明

用户定义规则

用户格式：user:pass[:e][:uid[:gid[:dir1[,dir2]...]]]

• :e：标记密码为加密状态
• uid/gid：手动设置用户ID/组ID，确保与主机文件系统权限匹配
• dir1...：自动创建并设置用户所有权的目录

S3同步配置

需设置以下环境变量：

• S3_BUCKET_NAME：AWS S3桶名称（可选子目录，格式：桶名:/子目录）
• AWSACCESSKEYID：AWS访问密钥ID
• AWSSECRETACCESSKEY：AWS秘密访问密钥

权限与挂载注意事项

• 用户被chroot到主目录，外部卷需挂载到用户主目录下的子目录
• s3fs目前仅支持单用户目录同步（多用户时最后一个配置生效）

部署示例

简单Docker Run启动

bash
docker run -e S3_BUCKET_NAME=yourbucket[:/OPTIONAL_SUBDIR] -e AWSACCESSKEYID=your_aws_access_key_id -e AWSSECRETACCESSKEY=your_aws_secret_key --security-opt apparmor:unconfined --cap-add mknod --cap-add sys_admin --device=/dev/fuse -p 21:22 -d docker.xuanyuan.run/comaes/sftp-s3fs testuser:pass:::sync_to_s3

说明：用户testuser使用密码pass登录，上传文件到/home/testuser/sync_to_s3目录，自动同步到指定S3桶。需确保AWS密钥拥有桶访问权限。

Docker Compose启动

替换环境变量值后执行：

bash
AWSACCESSKEYID=your_aws_access_key_id AWSSECRETACCESSKEY=your_aws_secret_key S3_BUCKET_NAME=your_bucket_name USERNAME=testuser PASSWORD=pass docker-compose up -d

本地登录示例

bash
sftp -P 21 testuser@172.17.0.1:sync_to_s3
sftp> put somefile  # 上传文件
sftp> ls  # 查看同步到S3的文件

加密密码配置

bash
docker run \
    -v /host/share:/home/foo/share \
    -p 2222:22 -d docker.xuanyuan.run/comaes/sftp-s3fs \
    'foo:$1$0G2g0GSt$ewU0t6GXG15.0hWoOX8X9.:e:1001'

生成加密密码：

bash
echo -n "your-password" | docker run -i --rm atmoz/makepasswd --crypt-md5 --clearfrom=-

SSH密钥认证

bash
docker run \
    -v /host/id_rsa.pub:/home/foo/.ssh/keys/id_rsa.pub:ro \
    -v /host/id_other.pub:/home/foo/.ssh/keys/id_other.pub:ro \
    -v /host/share:/home/foo/share \
    -p 2222:22 -d docker.xuanyuan.run/comaes/sftp-s3fs \
    foo::1001

自定义启动脚本

将脚本挂载到/etc/sftp.d/目录：

bash
#!/bin/bash
# 绑定挂载外部目录示例
function bindmount() {
    if [ -d "$1" ]; then
        mkdir -p "$2"
    fi
    mount --bind $3 "$1" "$2"
}

bindmount /data/admin-tools /home/admin/tools
bindmount /data/common /home/dave/common --read-only