patricol/alpine-sshd

sshd 镜像文档

镜像概述和主要用途

sshd镜像是一个基于Alpine Linux的轻量级安全SSH服务镜像，主要设计用于SFTP（SSH文件传输协议）和SSHFS（SSH文件系统）场景。该镜像提供了安全、资源占用低的SSH访问环境，特别适合需要动态用户管理和持久化主机密钥的场景。

核心功能和特性

1. 轻量级基础

• 基于Alpine Linux构建，镜像体积小，运行时资源占用低，适合资源受限环境。

2. 动态用户管理

• 支持根据/config/users/目录下的配置文件自动创建、更新或删除用户账号。
• 自动处理用户密码和SSH密钥的配置，无需手动执行用户管理命令。

3. 主机密钥持久化

• 自动保留生成的主机密钥，避免容器重启时重新生成密钥导致客户端信任问题（如SSH"主机密钥已更改"警告）。

4. 安全加固

• 默认启用符合安全最佳实践的sshd配置，包括禁用不安全的认证方式和加密算法。

使用场景和适用范围

1. SFTP服务器部署

• 需要为多用户提供安全文件传输服务的场景（如企业内部文件共享、用户数据上传）。

2. SSHFS文件系统挂载

• 需通过SSH协议将远程目录挂载到本地文件系统的场景（如跨服务器数据访问、开发环境资源共享）。

3. 轻量级SSH访问服务

• 嵌入式设备、边缘计算节点等资源受限环境中，需要提供轻量级SSH远程访问的场景。

4. 动态用户管理场景

• 需要快速添加、修改或删除SSH用户的场景（如临时项目团队访问权限管理）。

使用方法和配置说明

基本部署（docker run）

bash
docker run -d \
  -p 2222:22 \  # 映射SSH端口（宿主机端口:容器内端口，容器内默认22）
  -v /path/to/local/config/users:/config/users \  # 挂载用户配置目录
  --name alpine-sshd \  # 容器名称
  your-image-name  # 替换为实际镜像名称

用户配置方法

用户管理通过/config/users/目录实现，需在宿主机挂载的该目录下为每个用户创建配置文件（文件名建议使用用户名，无后缀）。

配置文件格式说明

每个用户配置文件包含以下内容（每行一项，顺序不限）：

• 密码配置（可选）：password:<用户密码>，若不配置则禁用密码登录（仅允许密钥登录）。
• SSH公钥（至少一项）：公钥完整内容（如ssh-rsa AAAAB3NzaC1yc2EAAA...），支持配置多个公钥（每行一个）。

示例：用户"alice"的配置文件

文件路径：/path/to/local/config/users/alice

password:SecurePass123!  # 可选密码配置
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDL3...  # 第一个公钥
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAx...  # 第二个公钥（支持多个）

主机密钥持久化（可选）

默认情况下，主机密钥生成后保存在容器内，为避免容器重建后密钥丢失，可挂载主机密钥目录：

bash
docker run -d \
  -p 2222:22 \
  -v /path/to/local/config/users:/config/users \
  -v /path/to/local/host-keys:/etc/ssh/host_keys \  # 挂载主机密钥持久化目录
  --name alpine-sshd \
  your-image-name

docker-compose配置示例

yaml
version: '3'
services:
  sshd:
    image: your-image-name
    ports:
      - "2222:22"
    volumes:
      - ./config/users:/config/users  # 本地用户配置目录
      - ./host-keys:/etc/ssh/host_keys  # 主机密钥持久化（可选）
    restart: unless-stopped  # 容器退出时自动重启

注意事项

1. 用户配置目录权限：宿主机/path/to/local/config/users目录及文件权限需确保容器内进程可读取（建议权限755，文件权限600）。
2. 密码安全：生产环境建议禁用密码登录，仅使用SSH密钥认证（即不在配置文件中添加password:项）。
3. 端口映射：避免直接映射宿主机22端口（可能与宿主机自身sshd冲突），建议使用非标准端口（如2222）。
4. 数据持久化：若需持久化用户数据，可额外挂载用户家目录（如-v /path/to/user/data:/home）。