# {{ ansible_managed }}

#---------------------
# Chrooted SFTP Access
#---------------------

Match Group {{ sftp_group_name }}
   # %h wird durch das Home-Verzeichnis des jeweiligen Users ersetzt
   # -> automatisch gültig für jeden neuen User dieser Gruppe,
   #    unabhängig vom Wert von USER
   ChrootDirectory %h

   # Erzwingt IMMER internal-sftp, egal was der Client anfordert.
   # Überschreibt damit auch die globale "Subsystem sftp"-Zeile
   # und verhindert jeglichen Shell-Zugriff.
   ForceCommand internal-sftp

   # Kein Missbrauch der SSH-Verbindung als Tunnel/Proxy möglich
   AllowTcpForwarding no
   X11Forwarding no
   PermitTunnel no

   # Passwort-Login für diese Gruppe explizit gesetzt (unabhängig von
   # der globalen Einstellung) - Variable 'sftp_password_authentication'
   PasswordAuthentication {{ sftp_password_authentication }}
   KbdInteractiveAuthentication no

# WICHTIG: setzt den Match-Scope zurück auf global,
# damit nachfolgende Direktiven (aus dieser Datei, weiteren
# sshd_config.d-Dateien oder der Haupt-sshd_config) nicht
# ungewollt auch nur für {{ sftp_group_name }} gelten
Match all