Servidor SFTP¶
La plantilla SFTP (categoría Storage) despliega un servidor SFTP (SFTPGo) con su propio volumen persistente. Sirve para recibir archivos de socios, clientes o scripts, o ponerlos a su disposición, desde la red interna o desde Internet.
| Campo | Función |
|---|---|
| Tamaño del almacenamiento (pestaña Capacidad) | Volumen de los archivos depositados y de la base de cuentas, 10Gi por defecto. |
| Adjuntar un volumen existente (pestaña Capacidad) | Reutiliza el volumen de un servidor SFTP eliminado: se recuperan archivos y cuentas. |
| Límite de memoria, Límite de CPU (pestaña Capacidad) | 256Mi y 500m por defecto. |
| Desconexión tras inactividad | En minutos, 15 por defecto (0 = nunca). |
| Conexiones simultáneas máx. por IP | 20 por defecto (0 = ilimitado). |
| Protección contra fuerza bruta | Bloquea temporalmente una dirección IP que acumula intentos fallidos. Activada por defecto. |
| File Browser | Consulta de los archivos depositados desde el navegador, tras el inicio de sesión de la plataforma. Activado por defecto. |
Una vez iniciada la aplicación, el botón SFTP — Cuentas y acceso de su tarjeta abre la administración del servidor.
Cuentas SFTP¶
Las cuentas SFTP son propias del servidor: no son usuarios de la plataforma y no tienen acceso al Control Panel. Los roles de la plataforma solo deciden quién puede gestionarlas:
| Rol en el namespace o la aplicación | Derechos |
|---|---|
| viewer | Ver las cuentas, las carpetas compartidas y los datos de conexión. |
| operator | Crear, modificar, suspender y eliminar cuentas; cambiar sus contraseñas; gestionar las carpetas compartidas. |
| admin | Abrir o cerrar el acceso desde Internet, filtrar las direcciones IP autorizadas. |
Cada creación, modificación o eliminación queda registrada en los logs de auditoría, con el usuario de la plataforma que la realizó — nunca las contraseñas.
Una cuenta incluye:
- un nombre de usuario (de 2 a 32 caracteres: minúsculas, dígitos,
.,_,-), que no se puede cambiar; - un modo de autenticación:
- Solo clave SSH (por defecto, recomendado desde Internet);
- Solo contraseña, para clientes que no pueden usar una clave;
- Clave SSH o contraseña;
- Clave SSH y contraseña, ambas exigidas en cada conexión;
- sus claves públicas SSH (varias posibles, con una etiqueta);
- una carpeta personal, raíz de lo que ve la cuenta;
- las carpetas compartidas que se le asignan, cada una en solo lectura o en lectura y escritura;
- restricciones opcionales: solo lectura, cuota (tamaño, número de archivos), fecha de caducidad, cuenta suspendida.
Eliminar una cuenta no elimina sus archivos: permanecen en el volumen, visibles en el File Browser.
Contraseñas¶
Una contraseña generada por la plataforma se muestra una sola vez, justo después de guardar: cópiela antes de cerrar el mensaje. Solo se guarda en forma de hash y no se puede volver a leer; si se pierde, use Nueva contraseña en la fila de la cuenta. Una contraseña escrita debe tener al menos 12 caracteres.
Claves SSH¶
El usuario genera su par de claves en su equipo y solo envía la clave pública — la clave privada nunca debe salir de su equipo:
ssh-keygen -t ed25519 -C "socio-x"
# enviar el contenido de ~/.ssh/id_ed25519.pub
En Windows, ssh-keygen viene con OpenSSH (PowerShell); con PuTTYgen, copie la línea «Public key for pasting into OpenSSH authorized_keys file».
En la ficha de la cuenta, pegue la clave o cargue el archivo .pub y pulse Añadir. Tipos aceptados: ssh-ed25519, ecdsa-sha2-nistp256/384/521, ssh-rsa (mínimo 2048 bits) y las claves de hardware sk-*. Una clave privada pegada por error se rechaza. La huella SHA256:… mostrada es la que da ssh-keygen -lf id_ed25519.pub: el usuario puede comprobar que es su clave.
Para sustituir una clave sin interrupción, añada la nueva, deje que el usuario la pruebe y luego quite la antigua.
Carpetas compartidas¶
Una carpeta compartida aparece en /partage/<nombre> en cada cuenta a la que se asigna. El acceso se ajusta cuenta por cuenta: un socio puede depositar archivos mientras otra cuenta solo lee. Eliminar una carpeta compartida la retira de todas las cuentas; sus archivos permanecen en el volumen.
Conexión y acceso desde Internet¶
La pestaña Conexión indica el host, el puerto, un comando sftp listo para copiar y las huellas del servidor. Compártalas con los usuarios: su cliente las muestra en la primera conexión, para comprobar que se trata de este servidor.
Por defecto, el servidor solo es accesible desde el clúster. Abrir el acceso desde Internet (admin) le asigna un puerto TCP en la Gateway, elegido automáticamente. Las direcciones IP autorizadas (una IP o rango CIDR por línea) restringen los orígenes; vacío, se acepta cualquier dirección que deje pasar el cortafuegos externo. Como para las bases PostgreSQL, la redirección del cortafuegos externo hacia el Load Balancer del clúster se configura a mano.
sftp -P <puerto> <usuario>@<host>
sftp -i ~/.ssh/id_ed25519 -P <puerto> <usuario>@<host>
Archivos y File Browser¶
En el volumen, los archivos se guardan en files/home/<usuario>/ (carpetas personales) y files/shared/<nombre>/ (carpetas compartidas). El File Browser de la aplicación muestra el conjunto a quien tenga acceso a la aplicación en la plataforma; la base de cuentas no aparece en él.
Eliminación¶
Eliminar la aplicación cierra el acceso desde Internet, libera su puerto y retira su cliente OpenID. El volumen sigue la regla habitual de los volúmenes.