AWS,winscp｜パーミッションユーザー設定

質問

AWSーec2にwordpressサイトを構築しており
winscpとputtyにてファイル操作などを行っております。
接続はsshのプライベートキーを発行して接続していて（ippanユーザー）
サーバをnginxにしているため、サイト関連ファイルの所有者、グループは
nginxになっている状況です。

このためwinscpでドラッグ&ドロップでサーバからファイルを落とす場合にも
パーミッションか所有者を変更して落とさなければならない状態なのですが
皆様はどのように設定されていますでしょうか。

サイトデータ（wordpressのwpディレクトリ）のグループをrootにしたり
することはセキュリティリスクを高めることになってしまうのでしょうか。

オススメの運用方法など伺えましたらうれしく思います。
よろしくお願いいたします。

回答No.1

anmochi

これはベストプラクティスではなくあくまで私がこうしているというだけの話なのだが。

特定多数の人がファイルをアップダウンする場合はvsftpdでFTPSを使うようにしている。
vsftpdにはゲストアカウント（OSユーザーでないものをFTPアカウントにする仕組みで匿名ユーザー（anonymous）とは違うもの）があり、さらにゲストアカウントを任意のOSユーザーにマップする機能があるからだ。
また、vsftpdはPAMで認証するのでゲストアカウントの認証をPAMに任せる事ができる。PAM側でMySQLやhtpasswdを使えばOSユーザーとは別にアカウントとパスワードを管理したり、OSユーザーもゲストアカウントも有効にするといったことも自由自在だ。

nginxではなくapacheの例だが、以下のような感じにしている。FTPS部分やゲストアクセスに大きく関わらない部分は割愛している。

/etc/vsftpd/vsftpd.conf
write_enable=YES
ascii_upload_enable=NO
ascii_download_enable=NO
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
use_localtime=YES
guest_enable=YES
virtual_user_local_privs=YES
user_config_dir=/etc/vsftpd/users

/etc/vsftpd/users/anmochi　（anmochiは例でゲストアカウント名がファイル名となる）
local_root=/var/www/html
guest_username=apache

こういう設定を行うことにより、OSに無いFTPアカウントanmochiがFTPして/index.htmlを書くとそれは/var/www/html/index.htmlとなりオーナーがapacheになる。/etc/vsftpd/usersの中にゲストアカウント分のファイルを作って内容を同じにすれば複数のFTPアカウントが同じOSユーザーで同じディレクトリ配下を読み書きする事ができる。PAMの設定内容も割愛しているのでPAM側は別途調べていただきたい。

お礼

回答ありがとうございます！
また返信が遅れまして大変失礼いたしました。

大変参考になりました。
当方の知識不足で理解するには時間がかかりますが
centosでのftpサーバ構築を考えてみます。