অধিকার Linux (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

সবাইকে নমস্কার। এটি RedHat RHCSA RHCE 7 RedHat Enterprise বই থেকে নেওয়া একটি প্রবন্ধের অনুবাদ। Linux ৭ EX200 এবং EX300।

ধাক্কা: আমি আশা করি নিবন্ধটি কেবল নতুনদের জন্যই কার্যকর হবে না, বরং আরও অভিজ্ঞ প্রশাসকদের তাদের জ্ঞানকে প্রবাহিত করতে সাহায্য করবে।

তাহলে এবার চল.

ফাইল অ্যাক্সেস করতে Linuxএক্ষেত্রে পারমিশন ব্যবহার করা হয়। এই পারমিশনগুলো তিনটি অবজেক্টকে দেওয়া হয়: ফাইলের মালিক, গ্রুপের মালিক এবং অন্য একটি অবজেক্ট (অর্থাৎ, বাকি সবাই)। এই আর্টিকেলে আপনি শিখবেন কীভাবে পারমিশন প্রয়োগ করতে হয়।

এই নিবন্ধটি প্রাথমিক ধারণাগুলির একটি ওভারভিউ দিয়ে শুরু হয়, তারপরে বিশেষ অনুমতি এবং অ্যাক্সেস কন্ট্রোল লিস্ট (ACLs) নিয়ে আলোচনা করা হয়। এই নিবন্ধের শেষে, আমরা উমাস্কের মাধ্যমে ডিফল্ট অনুমতি সেট করার পাশাপাশি বর্ধিত ব্যবহারকারীর বৈশিষ্ট্যগুলি পরিচালনা করব।

ফাইল মালিকানা ব্যবস্থাপনা

অনুমতি নিয়ে আলোচনা করার আগে, আপনাকে ফাইল এবং ডিরেক্টরির মালিকের ভূমিকা সম্পর্কে সচেতন হতে হবে। ফাইল এবং ডিরেক্টরির মালিকানা অনুমতি নিয়ে কাজ করার জন্য অত্যাবশ্যক। এই বিভাগে, আপনি প্রথমে শিখবেন কিভাবে আপনি মালিককে দেখতে পারেন। তারপর আপনি ফাইল এবং ডিরেক্টরির জন্য গ্রুপ মালিক এবং ব্যবহারকারী পরিবর্তন করতে শিখবেন।

একটি ফাইল বা ডিরেক্টরির মালিক প্রদর্শন করা হচ্ছে

В Linux প্রতিটি ফাইল এবং ডিরেক্টরির দুজন মালিক থাকে: ব্যবহারকারী এবং গ্রুপ মালিক।

এই মালিকদের সেট করা হয় যখন একটি ফাইল বা ডিরেক্টরি তৈরি করা হয়। যে ব্যবহারকারী ফাইলটি তৈরি করেন তিনি সেই ফাইলটির মালিক হন এবং একই ব্যবহারকারী যে প্রাথমিক গোষ্ঠীর অন্তর্গত তারাও সেই ফাইলের মালিক হন। ব্যবহারকারী হিসাবে আপনার কাছে একটি ফাইল বা ডিরেক্টরি অ্যাক্সেস করার অনুমতি আছে কিনা তা নির্ধারণ করতে, শেল মালিকানা পরীক্ষা করে।

এটি নিম্নলিখিত ক্রমে ঘটে:

1. আপনি যে ফাইলটি অ্যাক্সেস করতে চান তার মালিক আপনি কিনা তা দেখতে শেল চেক করে। আপনি যদি মালিক হন, আপনি অনুমতি পান এবং শেল চেক করা বন্ধ করে দেয়।
2. আপনি যদি ফাইলের মালিক না হন, তাহলে শেল পরীক্ষা করবে যে আপনি ফাইলটিতে অনুমতি আছে এমন একটি গোষ্ঠীর সদস্য কিনা। আপনি যদি এই গোষ্ঠীর সদস্য হন, তাহলে আপনি গ্রুপের সেট করা অনুমতিগুলির সাথে ফাইলটি অ্যাক্সেস করবেন এবং শেলটি পরীক্ষা করা বন্ধ করবে।
3. আপনি যদি ব্যবহারকারী না হন বা কোনও গোষ্ঠীর মালিক না হন তবে আপনাকে অন্যান্য ব্যবহারকারীদের (অন্যান্য) অধিকার দেওয়া হবে।

বর্তমান মালিকের অ্যাসাইনমেন্টগুলি দেখতে, আপনি কমান্ডটি ব্যবহার করতে পারেন ls -l. এই কমান্ডটি গ্রুপের ব্যবহারকারী এবং মালিককে দেখায়। নীচে আপনি /home ডিরেক্টরিতে ডিরেক্টরিগুলির জন্য মালিক সেটিংস দেখতে পারেন।

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

কমান্ড ব্যবহার করে ls আপনি একটি প্রদত্ত ডিরেক্টরিতে ফাইলের মালিক প্রদর্শন করতে পারেন। কখনও কখনও এটি সিস্টেমে সমস্ত ফাইলের একটি তালিকা পেতে দরকারী হতে পারে যার মালিক হিসাবে একটি প্রদত্ত ব্যবহারকারী বা গোষ্ঠী রয়েছে। এই জন্য আপনি ব্যবহার করতে পারেন আবিষ্কার. যুক্তি সন্ধান-ব্যবহারকারী এই উদ্দেশ্যে ব্যবহার করা যেতে পারে। উদাহরণস্বরূপ, নিম্নলিখিত কমান্ডটি ব্যবহারকারী লিন্ডার মালিকানাধীন সমস্ত ফাইল তালিকাভুক্ত করে:

find / -user linda

আপনিও ব্যবহার করতে পারেন আবিষ্কার যে ফাইলগুলির মালিক হিসাবে একটি নির্দিষ্ট গোষ্ঠী রয়েছে সেগুলি অনুসন্ধান করতে৷

উদাহরণস্বরূপ, নিম্নলিখিত কমান্ডটি গ্রুপের অন্তর্গত সমস্ত ফাইল অনুসন্ধান করে ব্যবহারকারী:

find / -group users

মালিকানা পরিবর্তন

উপযুক্ত অনুমতি প্রয়োগ করতে, প্রথম জিনিসটি বিবেচনা করতে হবে মালিকানা। এই জন্য একটি আদেশ আছে chown. এই কমান্ডের সিনট্যাক্স বোঝা সহজ:

chown кто что

উদাহরণস্বরূপ, নিম্নলিখিত কমান্ডটি /home/account ডিরেক্টরির মালিককে ব্যবহারকারী লিন্ডায় পরিবর্তন করে:

chown linda /home/account

টীম chown বেশ কয়েকটি বিকল্প রয়েছে, যার মধ্যে একটি বিশেষভাবে কার্যকর: -R. আপনি অনুমান করতে পারেন এটি কি করে কারণ এই বিকল্পটি অন্যান্য অনেক কমান্ডের জন্যও উপলব্ধ। এটি আপনাকে পুনরাবৃত্তভাবে মালিক সেট করতে দেয়, যা আপনাকে বর্তমান ডিরেক্টরি এবং নীচের সবকিছুর মালিক সেট করতে দেয়। নিম্নলিখিত কমান্ডটি /home ডিরেক্টরির মালিকানা এবং এর নীচের সবকিছু লিন্ডা ব্যবহারকারীর কাছে পরিবর্তন করে:

এখন মালিকরা দেখতে এইরকম:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

চলো করি:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

এখন ব্যবহারকারী লিসা অ্যাকাউন্ট ডিরেক্টরির মালিক হয়েছেন:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

একটি দলের মালিক পরিবর্তন

একটি গোষ্ঠীর মালিকানা পরিবর্তন করার দুটি উপায় রয়েছে। আপনি ব্যবহার করে এটি করতে পারেন chown, কিন্তু নামে একটি বিশেষ কমান্ড আছে chgrpযে কাজ করে. আপনি কমান্ড ব্যবহার করতে চান chown, ব্যবহার করুন . বা : গ্রুপের নামের সামনে।

নিম্নলিখিত কমান্ড /home/account গ্রুপের যে কোনো মালিককে অ্যাকাউন্ট গ্রুপে পরিবর্তন করে:

chown .account /home/account

তুমি ব্যবহার করতে পার chown ব্যবহারকারী এবং/অথবা গোষ্ঠীর মালিককে বিভিন্ন উপায়ে পরিবর্তন করতে। এখানে কিছু উদাহরণঃ:

• chown lisa myfile1 ব্যবহারকারী লিসাকে myfile1 এর মালিক হিসাবে সেট করে।
• chown lisa.sales myfile ব্যবহারকারী লিসাকে myfile ফাইলের মালিক হিসাবে সেট করে এবং একই ফাইলের মালিক হিসাবে বিক্রয় গোষ্ঠীকেও সেট করে।
• chown lisa: sales myfile আগের কমান্ডের মতোই।
• chown .sales myfile ব্যবহারকারীর মালিক পরিবর্তন না করেই বিক্রয় গোষ্ঠীকে myfile এর মালিক হিসাবে সেট করে।
• chown :sales myfile আগের কমান্ডের মতোই।

আপনি কমান্ড ব্যবহার করতে পারেন chgrpগ্রুপের মালিক পরিবর্তন করতে। নিম্নলিখিত উদাহরণটি বিবেচনা করুন, যেখানে আপনি ব্যবহার করতে পারেন chgrp অ্যাকাউন্ট ডিরেক্টরির মালিককে বিক্রয় গ্রুপে সেট করুন:

chgrp .sales /home/account

সঙ্গে chown, আপনি বিকল্পটি ব্যবহার করতে পারেন -R с chgrp, সেইসাথে বারবার গ্রুপের মালিক পরিবর্তন করুন।

ডিফল্ট মালিক বোঝা

আপনি হয়তো লক্ষ্য করেছেন যে যখন একজন ব্যবহারকারী একটি ফাইল তৈরি করে, তখন ডিফল্ট মালিকানা প্রয়োগ করা হয়।
যে ব্যবহারকারী ফাইলটি তৈরি করে সে স্বয়ংক্রিয়ভাবে সেই ফাইলের মালিক হয়ে যায় এবং সেই ব্যবহারকারীর প্রাথমিক গোষ্ঠী স্বয়ংক্রিয়ভাবে সেই ফাইলের মালিক হয়ে যায়। এটি সাধারণত সেই গ্রুপ যা /etc/passwd ফাইলে ব্যবহারকারীর প্রাথমিক গ্রুপ হিসাবে তালিকাভুক্ত করা হয়। যাইহোক, ব্যবহারকারী একাধিক গ্রুপের সদস্য হলে, ব্যবহারকারী কার্যকর প্রাথমিক গ্রুপ পরিবর্তন করতে পারেন।

বর্তমান কার্যকরী প্রাথমিক গ্রুপ দেখানোর জন্য, ব্যবহারকারী কমান্ড ব্যবহার করতে পারেন গ্রুপ:

[root@server1 ~]# groups lisa
lisa : lisa account sales

যদি বর্তমান লিন্ডা ব্যবহারকারী কার্যকর প্রাথমিক গোষ্ঠী পরিবর্তন করতে চান তবে তিনি কমান্ডটি ব্যবহার করবেন newgrpগ্রুপের নাম অনুসরণ করে তিনি নতুন কার্যকর প্রাথমিক গ্রুপ হিসেবে সেট করতে চান। কমান্ড ব্যবহার করার পরে newgrp ব্যবহারকারী একটি কমান্ড প্রবেশ না করা পর্যন্ত প্রাথমিক গ্রুপ সক্রিয় থাকবে প্রস্থান অথবা লগ আউট না.

নিম্নলিখিতটি দেখায় কিভাবে ব্যবহারকারী লিন্ডা প্রাথমিক গ্রুপ হিসাবে বিক্রয় সহ এই কমান্ডটি ব্যবহার করে:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

কার্যকরী প্রাথমিক গোষ্ঠী পরিবর্তন করার পরে, ব্যবহারকারীর দ্বারা তৈরি সমস্ত নতুন ফাইলে সেই গোষ্ঠীটি গোষ্ঠীর মালিক হিসাবে থাকবে৷ মূল প্রাথমিক গোষ্ঠী সেটিংয়ে ফিরে যেতে, ব্যবহার করুন প্রস্থান.

কমান্ড ব্যবহার করতে সক্ষম হতে newgrp, ব্যবহারকারীকে অবশ্যই সেই গোষ্ঠীর সদস্য হতে হবে যা তারা প্রাথমিক গোষ্ঠী হিসাবে ব্যবহার করতে চায়৷ উপরন্তু, কমান্ড ব্যবহার করে একটি গ্রুপের জন্য একটি গ্রুপ পাসওয়ার্ড ব্যবহার করা যেতে পারে gpasswd. যদি ব্যবহারকারী কমান্ড ব্যবহার করে newgrpকিন্তু লক্ষ্য গোষ্ঠীর সদস্য নয়, শেল গ্রুপের পাসওয়ার্ডের জন্য অনুরোধ করে। আপনি সঠিক গ্রুপ পাসওয়ার্ড প্রবেশ করার পরে, একটি নতুন কার্যকর প্রাথমিক গ্রুপ প্রতিষ্ঠিত হবে।

মৌলিক অধিকার ব্যবস্থাপনা

অনুমতি ব্যবস্থা Linux এটি ১৯৭০-এর দশকে উদ্ভাবিত হয়েছিল। যেহেতু সেই সময়ে কম্পিউটিং-এর চাহিদা সীমিত ছিল, তাই এর মৌলিক পারমিশন সিস্টেমটিও বেশ সীমাবদ্ধ ছিল। এই পারমিশন সিস্টেমে তিনটি পারমিশন ব্যবহার করা হয়, যা ফাইল এবং ডিরেক্টরিতে প্রয়োগ করা যায়। এই অংশে, আপনি শিখবেন কীভাবে এই পারমিশনগুলো ব্যবহার এবং পরিবর্তন করতে হয়।

পঠন, লিখুন এবং এক্সিকিউট পারমিশন বোঝা

তিনটি মৌলিক অনুমতি আপনাকে ফাইলগুলি পড়তে, লিখতে এবং চালানোর অনুমতি দেয়। ফাইল বা ডিরেক্টরিতে প্রয়োগ করার সময় এই অনুমতিগুলির প্রভাব ভিন্ন হয়। একটি ফাইলের জন্য, পড়ার অনুমতি আপনাকে পড়ার জন্য ফাইলটি খোলার অধিকার দেয়। অতএব, আপনি এটির বিষয়বস্তু পড়তে পারেন, তবে এর অর্থ হল আপনার কম্পিউটার ফাইলটি এটির সাথে কিছু করতে খুলতে পারে।

একটি প্রোগ্রাম ফাইল যা একটি লাইব্রেরিতে অ্যাক্সেসের প্রয়োজন, উদাহরণস্বরূপ, সেই লাইব্রেরিতে পড়ার অ্যাক্সেস থাকতে হবে। এটি অনুসরণ করে যে পড়ার অনুমতি হল আপনার ফাইলগুলির সাথে কাজ করার জন্য সবচেয়ে মৌলিক অনুমতি।

কোনো ডিরেক্টরিতে রিড পারমিশন প্রয়োগ করা হলে, তা আপনাকে সেই ডিরেক্টরির বিষয়বস্তু দেখার অনুমতি দেয়। আপনার মনে রাখা উচিত যে, এই পারমিশন আপনাকে ডিরেক্টরির ফাইলগুলো পড়ার অনুমতি দেয় না। পারমিশন সিস্টেম Linux এটি ইনহেরিটেন্স বোঝে না, এবং কোনো ফাইল পড়ার একমাত্র উপায় হলো সেটির ওপর রিড পারমিশন ব্যবহার করা।

আপনি সম্ভবত অনুমান করতে পারেন, লেখার অনুমতি, যদি একটি ফাইলে প্রয়োগ করা হয়, তাহলে ফাইলে লেখার অনুমতি দেয়। অন্য কথায়, এটি আপনাকে বিদ্যমান ফাইলগুলির বিষয়বস্তু পরিবর্তন করতে দেয়। যাইহোক, এটি আপনাকে নতুন ফাইল তৈরি বা মুছতে বা ফাইলের অনুমতি পরিবর্তন করতে দেয় না। এটি করার জন্য, আপনি যে ডিরেক্টরিতে ফাইলটি তৈরি করতে চান সেখানে আপনাকে লেখার অনুমতি দিতে হবে। ডিরেক্টরিতে, এই অনুমতি আপনাকে নতুন সাবডিরেক্টরি তৈরি এবং মুছে ফেলার অনুমতি দেয়।

একটি ফাইল এক্সিকিউট করার জন্য এক্সিকিউট পারমিশন প্রয়োজন। এটি ডিফল্টভাবে কখনো সেট করা থাকে না, যার ফলে... Linux ভাইরাস থেকে প্রায় সম্পূর্ণ সুরক্ষিত। শুধুমাত্র ডিরেক্টরিতে লেখার অনুমতি আছে এমন ব্যক্তিই এক্সিকিউট করার অনুমতি প্রয়োগ করতে পারেন।

নিম্নলিখিত মৌলিক অনুমতির ব্যবহার সংক্ষিপ্ত করে:

chmod ব্যবহার করে

কমান্ডটি অনুমতি পরিচালনা করতে ব্যবহৃত হয়। chmod... ব্যবহার chmod আপনি ব্যবহারকারী (ব্যবহারকারী), গ্রুপ (গ্রুপ) এবং অন্যদের (অন্যান্য) জন্য অনুমতি সেট করতে পারেন। আপনি এই কমান্ডটি দুটি মোডে ব্যবহার করতে পারেন: আপেক্ষিক মোড এবং পরম মোড। পরম মোডে, মৌলিক অনুমতি সেট করতে তিনটি সংখ্যা ব্যবহার করা হয়।

অনুমতি সেট করার সময়, আপনার প্রয়োজনীয় মান গণনা করুন। আপনি যদি ব্যবহারকারীর জন্য read/write/execute সেট করতে চান, গ্রুপের জন্য read/execute এবং /somefile এ অন্যদের জন্য রিড/এক্সিকিউট করতে চান তাহলে আপনি নিম্নলিখিত কমান্ডটি ব্যবহার করুন chmod:

chmod 755 /somefile

আপনি যখন ব্যবহার করেন chmod এইভাবে, সমস্ত বর্তমান অনুমতি আপনার সেট করা অনুমতি দ্বারা প্রতিস্থাপিত হয়।

আপনি যদি বর্তমান অনুমতিগুলির সাথে সম্পর্কিত অনুমতিগুলি পরিবর্তন করতে চান তবে আপনি ব্যবহার করতে পারেন chmod আপেক্ষিক মোডে। ব্যবহার chmod আপেক্ষিক মোডে আপনি কি করতে চান তা নির্দেশ করার জন্য আপনি তিনটি সূচকের সাথে কাজ করেন:

1. প্রথমে আপনি নির্দিষ্ট করুন আপনি কার জন্য অনুমতি পরিবর্তন করতে চান। এটি করার জন্য, আপনি ব্যবহারকারীর মধ্যে নির্বাচন করতে পারেন (u), গ্রুপ (g) এবং অন্যদের (o).
2. তারপরে আপনি বর্তমান মোড থেকে অনুমতি যোগ করতে বা অপসারণ করতে একটি বিবৃতি ব্যবহার করেন, বা তাদের একেবারে সেট করুন।
3. শেষে আপনি ব্যবহার করুন r, w и xআপনি কোন অনুমতি সেট করতে চান তা নির্দিষ্ট করতে।

আপেক্ষিক মোডে অনুমতি পরিবর্তন করার সময়, আপনি সমস্ত বস্তুর জন্য অনুমতি যোগ করতে বা অপসারণ করতে "টু" অংশটি এড়িয়ে যেতে পারেন। উদাহরণস্বরূপ, এই কমান্ডটি সমস্ত ব্যবহারকারীর জন্য এক্সিকিউট অনুমতি যোগ করে:

chmod +x somefile

আপেক্ষিক মোডে কাজ করার সময়, আপনি আরও জটিল কমান্ড ব্যবহার করতে পারেন। উদাহরণস্বরূপ, এই কমান্ডটি একটি গ্রুপে লেখার অনুমতি যোগ করে এবং অন্যদের জন্য পড়ার অনুমতি সরিয়ে দেয়:

chmod g+w,o-r somefile

ব্যবহার করার সময় chmod -R o+rx /ডেটা আপনি /data ডিরেক্টরিতে সমস্ত ডিরেক্টরির পাশাপাশি ফাইলগুলির জন্য এক্সিকিউট অনুমতি সেট করেন। শুধুমাত্র ডিরেক্টরির জন্য এক্সিকিউট পারমিশন সেট করতে এবং ফাইলের জন্য নয়, ব্যবহার করুন chmod -R o+ rX/ডেটা.

বড় হাতের X নিশ্চিত করে যে ফাইলগুলি কার্যকর করার অনুমতি পায় না যদি না ফাইলটি ইতিমধ্যে কিছু বস্তুর জন্য এক্সিকিউট অনুমতি সেট করে থাকে। এটি এক্সকে এক্সিকিউট পারমিশন মোকাবেলা করার একটি বুদ্ধিমান উপায় করে তোলে; এটি ফাইলগুলিতে এই অনুমতি সেট করা এড়াবে যেখানে এটির প্রয়োজন নেই৷

বর্ধিত অধিকার

আপনি এইমাত্র যে মৌলিক অনুমতিগুলো সম্পর্কে পড়লেন, সেগুলো ছাড়াও, Linux এছাড়াও এক সেট বর্ধিত অনুমতি (extended permissions) রয়েছে। এগুলো সেই অনুমতি নয় যা আপনি ডিফল্টরূপে সেট করেন, কিন্তু কখনও কখনও এগুলো দরকারি অতিরিক্ত সুবিধা দিতে পারে। এই অংশে, আপনি শিখবেন এগুলো কী এবং কীভাবে কনফিগার করতে হয়।

SUID, GUID, এবং স্টিকি বিট বর্ধিত অনুমতি বোঝা

তিনটি উন্নত অনুমতি আছে. এর মধ্যে প্রথমটি হল ব্যবহারকারী শনাক্তকারী (SUID) সেট করার অনুমতি। কিছু বিশেষ ক্ষেত্রে, আপনি এক্সিকিউটেবল ফাইলগুলিতে এই অনুমতি প্রয়োগ করতে পারেন। ডিফল্টরূপে, একজন ব্যবহারকারী যিনি একটি এক্সিকিউটেবল চালান তিনি তাদের নিজস্ব অনুমতি নিয়ে সেই ফাইলটি চালান।

সাধারণ ব্যবহারকারীদের জন্য, এর অর্থ সাধারণত প্রোগ্রামটির ব্যবহার সীমিত। যাইহোক, কিছু ক্ষেত্রে, ব্যবহারকারীর বিশেষ অনুমতি প্রয়োজন, শুধুমাত্র একটি নির্দিষ্ট কাজ সম্পাদন করার জন্য।

উদাহরণস্বরূপ, এমন একটি পরিস্থিতি বিবেচনা করুন যেখানে একজন ব্যবহারকারীকে তাদের পাসওয়ার্ড পরিবর্তন করতে হবে। এটি করার জন্য, ব্যবহারকারীকে অবশ্যই /etc/shadow ফাইলে তাদের নতুন পাসওয়ার্ড লিখতে হবে। যাইহোক, এই ফাইলটি অ-রুট ব্যবহারকারীদের দ্বারা লেখার যোগ্য নয়:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID অনুমতি এই সমস্যার সমাধান দেয়। /usr/bin/passwd ইউটিলিটি ডিফল্টরূপে এই অনুমতি ব্যবহার করে। এর মানে হল পাসওয়ার্ড পরিবর্তন করার সময়, ব্যবহারকারী সাময়িকভাবে রুট হয়ে যায়, যা তাকে /etc/shadow ফাইলে লিখতে দেয়। আপনি SUID অনুমতি সঙ্গে দেখতে পারেন ls -l কিভাবে s এমন একটি অবস্থানে যেখানে আপনি সাধারণত দেখতে আশা করেন x কাস্টম অনুমতির জন্য:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID অনুমতিটি দরকারী মনে হতে পারে (এবং কিছু ক্ষেত্রে এটি হয়), কিন্তু একই সময়ে এটি সম্ভাব্য বিপজ্জনক। সঠিকভাবে প্রয়োগ না করা হলে, আপনি দুর্ঘটনাক্রমে রুট অনুমতি দিতে পারেন। অতএব, আমি এটি শুধুমাত্র সর্বোচ্চ যত্ন সহ ব্যবহার করার পরামর্শ দিই।

বেশিরভাগ প্রশাসকদের এটি ব্যবহার করার প্রয়োজন হবে না; আপনি এটি শুধুমাত্র কিছু ফাইলে দেখতে পাবেন যেখানে অপারেটিং সিস্টেম এটি ডিফল্টরূপে সেট করা উচিত।

দ্বিতীয় বিশেষ অনুমতি হল গ্রুপ শনাক্তকারী (SGID)। এই অনুমতি দুটি প্রভাব আছে. যখন একটি এক্সিকিউটেবল ফাইলে প্রয়োগ করা হয়, এটি সেই ব্যবহারকারীকে দেয় যে ফাইলটি চালায় ফাইলের গ্রুপ মালিকের অনুমতি। তাই SGID কমবেশি SUID হিসাবে একই জিনিস করতে পারে। যাইহোক, SGID কার্যত এই উদ্দেশ্যে ব্যবহার করা হয় না।

SUID অনুমতির মতো, কিছু সিস্টেম ফাইলে ডিফল্ট সেটিং হিসেবে SGID প্রয়োগ করা হয়।

যখন একটি ডিরেক্টরিতে প্রয়োগ করা হয়, তখন SGID উপযোগী হতে পারে কারণ আপনি সেই ডিরেক্টরিতে তৈরি ফাইল এবং সাবডিরেক্টরিগুলির জন্য ডিফল্ট গ্রুপ মালিক সেট করতে এটি ব্যবহার করতে পারেন। ডিফল্টরূপে, যখন একজন ব্যবহারকারী একটি ফাইল তৈরি করে, তখন তাদের কার্যকরী প্রাথমিক গোষ্ঠীটি সেই ফাইলের জন্য গ্রুপ মালিক হিসাবে সেট করা হয়।

এটি সবসময় খুব একটা কার্যকর নয়, বিশেষ করে যেহেতু রেড হ্যাট ব্যবহারকারীরা/CentOS প্রাথমিক গ্রুপটি ব্যবহারকারীর নামের সাথে একই নামের একটি গ্রুপে সেট করা হয়, যার একমাত্র সদস্য হলেন ব্যবহারকারী নিজেই। এর মানে হলো, ডিফল্টরূপে ব্যবহারকারীর তৈরি করা ফাইলগুলো গ্রুপে শেয়ার করা হবে।

এমন একটি পরিস্থিতি কল্পনা করুন যেখানে ব্যবহারকারী লিন্ডা এবং লরি অ্যাকাউন্টিংয়ে কাজ করে এবং একটি গ্রুপের সদস্য হিসাব. ডিফল্টরূপে, এই ব্যবহারকারীরা একটি ব্যক্তিগত গোষ্ঠীর সদস্য যার তারা একমাত্র সদস্য। যাইহোক, উভয় ব্যবহারকারীই অ্যাকাউন্ট গ্রুপের সদস্য, তবে একটি মাধ্যমিক গ্রুপ প্যারামিটার হিসাবেও।

ডিফল্ট পরিস্থিতি হল যখন এই ব্যবহারকারীদের মধ্যে কেউ একটি ফাইল তৈরি করে, প্রাথমিক গ্রুপটি মালিক হয়ে যায়। অতএব, ডিফল্টরূপে, লিন্ডা লরি দ্বারা তৈরি ফাইলগুলি অ্যাক্সেস করতে পারে না এবং এর বিপরীতে। যাইহোক, যদি আপনি একটি শেয়ার্ড গ্রুপ ডিরেক্টরি তৈরি করেন (বলুন /groups/account) এবং নিশ্চিত করুন যে SGID অনুমতি সেই ডিরেক্টরিতে প্রয়োগ করা হয়েছে এবং গ্রুপ অ্যাকাউন্টটি সেই ডিরেক্টরির জন্য গ্রুপ মালিক হিসাবে সেট করা আছে, সেই ডিরেক্টরিতে তৈরি সমস্ত ফাইল এবং সমস্ত এর সাবডিরেক্টরিগুলির মধ্যে, ডিফল্টরূপে গোষ্ঠীর মালিক হিসাবে গোষ্ঠী অ্যাকাউন্টও পান।

এই কারণে, SGID অনুমতি পাবলিক গ্রুপ ডিরেক্টরিতে সেট করার জন্য একটি খুব দরকারী অনুমতি।

আউটপুটে দেখানো SGID অনুমতি ls -l কিভাবে s যে অবস্থানে আপনি সাধারণত একটি গ্রুপ চালানোর অনুমতি পাবেন:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

বিশেষ অনুমতির তৃতীয়টি হল স্টিকি বিট। এই অনুমতিটি এমন একটি পরিবেশে ফাইলগুলিকে দুর্ঘটনাজনিত মুছে ফেলা থেকে রক্ষা করার জন্য দরকারী যেখানে একাধিক ব্যবহারকারীর একই ডিরেক্টরিতে লেখার অ্যাক্সেস রয়েছে। যদি একটি স্টিকি বিট ব্যবহার করা হয়, একজন ব্যবহারকারী শুধুমাত্র একটি ফাইল মুছে ফেলতে পারেন যদি তারা ফাইলটি ধারণ করে এমন ফাইল বা ডিরেক্টরির মালিক হন। এই কারণে, এটি /tmp ডিরেক্টরির জন্য ডিফল্ট অনুমতি হিসাবে ব্যবহৃত হয় এবং পাবলিক গ্রুপ ডিরেক্টরিগুলির জন্যও উপযোগী হতে পারে।

স্টিকি বিট ব্যতীত, ব্যবহারকারী যদি একটি ডিরেক্টরিতে ফাইল তৈরি করতে পারে তবে তারা সেই ডিরেক্টরি থেকে ফাইলগুলিও মুছতে পারে। একটি পাবলিক গ্রুপ পরিবেশে, এটি বিরক্তিকর হতে পারে। লিন্ডা এবং লরি ব্যবহারকারীদের কল্পনা করুন, যাদের উভয়েরই /data/account ডিরেক্টরিতে লেখার অনুমতি রয়েছে এবং অ্যাকাউন্ট গ্রুপের সদস্য হয়ে সেই অনুমতিগুলি পান। তাই, লিন্ডা লরি দ্বারা তৈরি ফাইল মুছে ফেলতে পারে এবং এর বিপরীতে।

আপনি যখন স্টিকি বিট প্রয়োগ করেন, ব্যবহারকারী শুধুমাত্র ফাইল মুছে ফেলতে পারেন যদি নিম্নলিখিত শর্তগুলির মধ্যে একটি সত্য হয়:

• ব্যবহারকারী ফাইলের মালিক;
• ব্যবহারকারী যে ডিরেক্টরির মালিক যেখানে ফাইলটি অবস্থিত।

ব্যবহার করার সময় ls -l, আপনি স্টিকি বিট হিসাবে দেখতে পারেন t যে অবস্থানে আপনি সাধারণত অন্যদের জন্য মৃত্যুদন্ডের অনুমতি দেখতে পাবেন:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

বর্ধিত অধিকার প্রয়োগ করা

SUID, SGID এবং স্টিকি বিট প্রয়োগ করতে আপনিও ব্যবহার করতে পারেন chmod. SUID-এর সাংখ্যিক মান 4, SGID-এর সাংখ্যিক মান 2, এবং স্টিকি বিটের একটি সাংখ্যিক মান 1।

আপনি যদি এই অনুমতিগুলি প্রয়োগ করতে চান তবে আপনাকে একটি চার সংখ্যার যুক্তি যোগ করতে হবে৷ chmod, যার প্রথম সংখ্যা বিশেষ অনুমতি বোঝায়। নিম্নলিখিত লাইন, উদাহরণস্বরূপ, ডিরেক্টরিতে SGID অনুমতি যোগ করবে এবং ব্যবহারকারীর জন্য rwx এবং গ্রুপ এবং অন্যদের জন্য rx সেট করবে:

chmod 2755 /somedir

আপনি কাজ করার আগে সেট করা বর্তমান অনুমতি দেখতে প্রয়োজন হলে এটি বরং অবাস্তব chmod পরম মোডে। (আপনি যদি না করেন তবে অনুমতিগুলি ওভাররাইট করার ঝুঁকি চালান৷) তাই আমি আপেক্ষিক মোডে চালানোর পরামর্শ দিচ্ছি যদি আপনাকে বিশেষ অনুমতিগুলির কোনও প্রয়োগ করতে হয়:

1. SUID ব্যবহারের জন্য chmod u+s.
2. SGID ব্যবহারের জন্য chmod g+s.
3. স্টিকি বিট ব্যবহারের জন্য chmod +t, ফাইল বা ডিরেক্টরির নাম অনুসরণ করুন যার জন্য আপনি অনুমতি সেট করতে চান।

বিশেষ অনুমতিগুলি পরিচালনা করার বিষয়ে আপনার যা জানা দরকার তা টেবিলটি সংক্ষিপ্ত করে।

বিশেষ অধিকার নিয়ে কাজ করার উদাহরণ

এই উদাহরণে, গ্রুপের সদস্যদের শেয়ার করা গ্রুপ ডিরেক্টরিতে ফাইল শেয়ার করা সহজ করতে আপনি বিশেষ অনুমতি ব্যবহার করেন। আপনি সেট গ্রুপ আইডির পাশাপাশি স্টিকি বিটে আইডি বিট বরাদ্দ করেন এবং আপনি দেখতে পান যে একবার সেগুলি সেট হয়ে গেলে, গ্রুপ সদস্যদের একসাথে কাজ করা সহজ করার জন্য বৈশিষ্ট্যগুলি যোগ করা হয়।

1. একটি টার্মিনাল খুলুন যেখানে আপনি লিন্ডা ব্যবহারকারী। আপনি কমান্ড দিয়ে একজন ব্যবহারকারী তৈরি করতে পারেন লিন্ডা, পাসওয়ার্ড যোগ করুন পাসওয়াড লিন্ডা.
2. রুটে /data ডিরেক্টরি এবং কমান্ডের সাহায্যে /data/sales সাবডিরেক্টরি তৈরি করুন mkdir -p /data/sales. সম্পূর্ণ সিডি/ডেটা/বিক্রয়বিক্রয় ডিরেক্টরিতে যেতে। সম্পূর্ণ স্পর্শ লিন্ডা1 и স্পর্শ লিন্ডা2লিন্ডার মালিকানাধীন দুটি খালি ফাইল তৈরি করতে।
3. এক্সিকিউট সু-লিসা বর্তমান ব্যবহারকারীকে ব্যবহারকারী লিসাতে স্যুইচ করতে, যিনি বিক্রয় গোষ্ঠীর সদস্যও।
4. এক্সিকিউট সিডি/ডেটা/বিক্রয় এবং সেই ডিরেক্টরি থেকে চালান ls -l. আপনি দুটি ফাইল দেখতে পাবেন যা লিন্ডা ব্যবহারকারী দ্বারা তৈরি করা হয়েছিল এবং লিন্ডা গ্রুপের অন্তর্গত। সম্পূর্ণ আরএম-এফ লিন্ডা*. এটি উভয় ফাইল মুছে ফেলবে।
5. এক্সিকিউট স্পর্শ lisa1 и স্পর্শ lisa2ব্যবহারকারী লিসার মালিকানাধীন দুটি ফাইল তৈরি করতে।
6. এক্সিকিউট সু- রুট আপনার বিশেষাধিকার উন্নত করতে.
7. এক্সিকিউট chmod g+s,o+t /data/salesশেয়ার্ড গ্রুপ ডিরেক্টরিতে গ্রুপ আইডেন্টিফায়ার (GUID) বিট এবং স্টিকি বিট সেট করতে।
8. এক্সিকিউট সু-লিন্ডা. তারপর করবেন স্পর্শ লিন্ডা3 и স্পর্শ লিন্ডা4. আপনি এখন দেখতে পাবেন যে আপনার তৈরি করা দুটি ফাইল বিক্রয় গোষ্ঠীর মালিকানাধীন, যেটি /data/sales ডিরেক্টরির গ্রুপ মালিক।
9. এক্সিকিউট আরএম -আরএফ লিসা*. স্টিকি বিট এই ফাইলগুলিকে লিন্ডা ব্যবহারকারীর পক্ষ থেকে মুছে ফেলা থেকে বাধা দেয়, যেহেতু আপনি এই ফাইলগুলির মালিক নন৷ মনে রাখবেন যে লিন্ডা ব্যবহারকারী যদি /data/sales ডিরেক্টরির মালিক হন, তবে তারা এই ফাইলগুলি যেভাবেই মুছে ফেলতে পারে!

ACL ব্যবস্থাপনা (setfacl, getfacl) Linux

যদিও উপরে আলোচিত বর্ধিত অধিকারগুলি কীভাবে দরকারী কার্যকারিতা যোগ করে Linux এটি পারমিশন নিয়ে কাজ করে, তাই একটি ফাইলে একাধিক ব্যবহারকারী বা গ্রুপকে পারমিশন দেওয়ার সুযোগ নেই।

অ্যাক্সেস নিয়ন্ত্রণ তালিকা এই বৈশিষ্ট্য অফার. উপরন্তু, তারা প্রশাসকদের একটি জটিল উপায়ে ডিফল্ট অনুমতি সেট করার অনুমতি দেয়, যেখানে সেট অনুমতিগুলি ডিরেক্টরি থেকে ডিরেক্টরিতে পরিবর্তিত হতে পারে।

ACL বোঝা

যদিও ACL সাবসিস্টেম আপনার সার্ভারে দুর্দান্ত কার্যকারিতা যোগ করে, তবে এর একটি অসুবিধা রয়েছে: সমস্ত ইউটিলিটি এটি সমর্থন করে না। অতএব, আপনি ফাইল কপি বা সরানোর সময় আপনার ACL সেটিংস হারাতে পারেন এবং আপনার ব্যাকআপ সফ্টওয়্যার আপনার ACL সেটিংস ব্যাক আপ করতে ব্যর্থ হতে পারে।

টার ইউটিলিটি ACL সমর্থন করে না। আপনি একটি ব্যাকআপ তৈরি করার সময় ACL সেটিংস হারিয়ে না যায় তা নিশ্চিত করতে, ব্যবহার করুন তারকা টার পরিবর্তে। তারকা টার হিসাবে একই বিকল্পগুলির সাথে কাজ করে; এটি শুধু ACL সেটিংসের জন্য সমর্থন যোগ করে।

আপনি এসিএল ব্যাক আপ করতে পারেন getfacl, যা setfacl কমান্ড ব্যবহার করে পুনরুদ্ধার করা যেতে পারে। একটি ব্যাকআপ তৈরি করতে, ব্যবহার করুন getfacl -R /directory > file.acls. একটি ব্যাকআপ ফাইল থেকে সেটিংস পুনরুদ্ধার করতে, ব্যবহার করুন setfacl --restore=file.acl.

কিছু সরঞ্জাম দ্বারা সমর্থন অভাব একটি সমস্যা হওয়া উচিত নয়. এসিএলগুলি প্রায়শই পৃথক ফাইলগুলির পরিবর্তে কাঠামোগত পরিমাপ হিসাবে ডিরেক্টরিগুলিতে প্রয়োগ করা হয়।
অতএব, ফাইল সিস্টেমের স্মার্ট জায়গাগুলিতে তাদের মধ্যে অনেকগুলিই থাকবে না, তবে কয়েকটি মাত্র। অতএব, আপনার ব্যাকআপ সফ্টওয়্যার তাদের সমর্থন না করলেও, আপনি যে মূল ACLগুলির সাথে কাজ করেছেন তা পুনরুদ্ধার করা তুলনামূলকভাবে সহজ।

ACL এর জন্য ফাইল সিস্টেম প্রস্তুত করা হচ্ছে

আপনি ACL এর সাথে কাজ শুরু করার আগে, আপনাকে ACL সমর্থন করার জন্য আপনার ফাইল সিস্টেম প্রস্তুত করতে হতে পারে। যেহেতু ফাইল সিস্টেম মেটাডেটা প্রসারিত করা প্রয়োজন, ফাইল সিস্টেমে ACL-এর জন্য সবসময় ডিফল্ট সমর্থন থাকে না। একটি ফাইল সিস্টেমের জন্য ACL সেট আপ করার সময় আপনি যদি একটি "অপারেশন সমর্থিত নয়" বার্তা পান, আপনার ফাইল সিস্টেম ACL সমর্থন নাও করতে পারে।

এটি ঠিক করতে আপনাকে বিকল্পটি যোগ করতে হবে acl মাউন্ট /etc/fstab-এ যাতে ফাইল সিস্টেম ডিফল্টরূপে ACL সমর্থন সহ মাউন্ট করা হয়।

setfacl এবং getfacl এর সাথে ACL সেটিংস পরিবর্তন এবং দেখা

একটি ACL সেট করতে আপনার কমান্ডের প্রয়োজন সেটফ্যাকল. বর্তমান ACL সেটিংস দেখতে আপনার প্রয়োজন getfacl. টীম ls -l কোনো বিদ্যমান ACL দেখায় না; এটি অনুমতি তালিকার পরে একটি + দেখায়, যা নির্দেশ করে যে ACLগুলি ফাইলেও প্রযোজ্য।

ACL সেট আপ করার আগে, বর্তমান ACL সেটিংস দেখানো সবসময়ই ভালো getfacl. নীচের উদাহরণে, আপনি বর্তমান অনুমতিগুলি দেখতে পারেন, যেমনটি দেখানো হয়েছে৷ ls -l, এবং এর সাথে দেখানো হয়েছে getfacl. আপনি যদি যথেষ্ট ঘনিষ্ঠভাবে লক্ষ্য করেন তবে আপনি দেখতে পাবেন যে দেখানো তথ্যটি হুবহু একই।

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

আদেশ কার্যকর করার ফলে getfacl নীচে আপনি দেখতে পাচ্ছেন যে অনুমতিগুলি তিনটি ভিন্ন বস্তুর জন্য দেখানো হয়েছে: ব্যবহারকারী, গোষ্ঠী এবং অন্যান্য। এখন বিক্রয় গ্রুপকেও রিড এবং এক্সিকিউট পারমিশন দিতে একটি ACL যোগ করা যাক। এই জন্য আদেশ setfacl -mg:sales:rx/dir. এই দলে -m নির্দেশ করে যে বর্তমান ACL সেটিংস পরিবর্তন করতে হবে। তারপর g:sales:rx রিড-এক্সিকিউট ACL সেট করতে কমান্ডকে বলে (rxগ্রুপের জন্য (g) বিক্রয়. নীচে আপনি বর্তমান ACL সেটিংস পরিবর্তন করার পরে কমান্ডটি দেখতে কেমন দেখাচ্ছে, সেইসাথে getfacl কমান্ডের আউটপুট দেখতে পারেন।

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

এখন আপনি বুঝতে পেরেছেন কিভাবে একটি গ্রুপ ACL সেট আপ করতে হয়, ব্যবহারকারী এবং অন্যান্য ব্যবহারকারীদের জন্য ACL বোঝা সহজ। উদাহরণস্বরূপ, কমান্ড setfacl -mu:linda:rwx/data linda ব্যবহারকারীকে /data ডিরেক্টরির মালিক না বানিয়ে বা বর্তমান মালিকের নিয়োগ পরিবর্তন না করে অনুমতি দেয়।

টীম সেটফ্যাকল অনেক বৈশিষ্ট্য এবং বিকল্প আছে. একটি বিকল্প বিশেষভাবে গুরুত্বপূর্ণ, পরামিতি -R. যদি ব্যবহার করা হয়, বিকল্পটি সমস্ত ফাইল এবং সাব-ডিরেক্টরিগুলির জন্য ACL সেট করে দেয় যা বর্তমানে যে ডিরেক্টরিতে আপনি ACL সেট করেছেন সেখানে বিদ্যমান। বিদ্যমান ডিরেক্টরিগুলির জন্য ACL পরিবর্তন করার সময় আপনি সর্বদা এই বিকল্পটি ব্যবহার করার পরামর্শ দেওয়া হয়।

ডিফল্ট ACL এর সাথে কাজ করা

ACL ব্যবহার করার সুবিধাগুলির মধ্যে একটি হল যে আপনি একটি ডিরেক্টরিতে একাধিক ব্যবহারকারী বা গোষ্ঠীকে অনুমতি দিতে পারেন। আরেকটি সুবিধা হল আপনি ডিফল্ট ACL এর সাথে কাজ করে উত্তরাধিকার সক্ষম করতে পারেন।

ডিফল্ট ACL সেট করে, আপনি নির্দেশিকাতে তৈরি সমস্ত নতুন আইটেমের জন্য সেট করা অনুমতিগুলি নির্ধারণ করেন। সচেতন থাকুন যে ডিফল্ট ACL বিদ্যমান ফাইল এবং সাবডিরেক্টরিতে অনুমতি পরিবর্তন করে না। তাদের পরিবর্তন করতে, আপনাকে একটি সাধারণ ACLও যোগ করতে হবে!

এটা জানা জরুরী। আপনি যদি একই ডিরেক্টরি অ্যাক্সেস করার জন্য একাধিক ব্যবহারকারী বা গোষ্ঠী কনফিগার করতে একটি ACL ব্যবহার করতে চান তবে আপনাকে অবশ্যই ACL দুইবার সেট করতে হবে। প্রথম ব্যবহার setfacl -R -mবর্তমান ফাইলগুলির জন্য ACL পরিবর্তন করতে। তারপর ব্যবহার করুন setfacl-md:এছাড়াও তৈরি করা হবে যে সমস্ত নতুন উপাদান যত্ন নিতে.

ডিফল্ট ACL সেট করতে আপনাকে শুধু বিকল্প যোগ করতে হবে d বিকল্প পরে -m (অর্ডার বিষয়!) তাই ব্যবহার করুন setfacl -md:g:sales:rx/dataআপনি যদি /data ডিরেক্টরিতে তৈরি করা যাই হোক না কেন গ্রুপ বিক্রয় পড়তে এবং চালাতে চান।

ডিফল্ট ACL ব্যবহার করার সময়, অন্যদের জন্য ACL সেট করাও উপযোগী হতে পারে। এটি সাধারণত খুব বেশি অর্থবোধ করে না কারণ আপনি অন্যদের ব্যবহার করার অনুমতিগুলিও পরিবর্তন করতে পারেন chmod. যাইহোক, আপনি কি সঙ্গে করতে পারবেন না chmod, প্রতিটি নতুন ফাইল যা তৈরি করা হয়েছে তার জন্য অন্যান্য ব্যবহারকারীদের অবশ্যই মঞ্জুর করা উচিত তা নির্দিষ্ট করা। আপনি যদি অন্যদেরকে /ডেটাতে তৈরি যেকোনো কিছুর অনুমতি পেতে বাধা দিতে চান উদাহরণস্বরূপ ব্যবহার করুন setfacl -md:o::-/data.

ACL এবং স্বাভাবিক অনুমতি সবসময় ভালভাবে একত্রিত হয় না। সমস্যা দেখা দিতে পারে যদি আপনি একটি ডিরেক্টরিতে একটি ডিফল্ট ACL প্রয়োগ করেন, তারপর আইটেমগুলি সেই ডিরেক্টরিতে যোগ করা হয়, এবং তারপর স্বাভাবিক অনুমতি পরিবর্তন করার চেষ্টা করুন। সাধারণ অনুমতিগুলিতে প্রযোজ্য পরিবর্তনগুলি ACL ওভারভিউতে ভালভাবে প্রতিফলিত হবে না। সমস্যা এড়াতে, প্রথমে সাধারণ অনুমতি সেট করুন, তারপরে ডিফল্ট ACL সেট করুন (এবং এর পরে সেগুলি আবার পরিবর্তন করার চেষ্টা করবেন না)।

ACL ব্যবহার করে উন্নত অধিকার ব্যবস্থাপনার উদাহরণ

এই উদাহরণে, আপনি আগে তৈরি করা /data/account এবং /data/sales ডিরেক্টরিগুলির সাথে চালিয়ে যাবেন। আগের উদাহরণগুলিতে, আপনি নিশ্চিত করেছেন যে বিক্রয় গোষ্ঠীর /data/sales-এ অনুমতি রয়েছে এবং অ্যাকাউন্ট গ্রুপের /data/account-এ অনুমতি রয়েছে।

প্রথমে, নিশ্চিত করুন যে অ্যাকাউন্ট গ্রুপ /data/sales ডিরেক্টরিতে পড়ার অনুমতি পেয়েছে এবং বিক্রয় গ্রুপ /data/account ডিরেক্টরিতে পড়ার অনুমতি পেয়েছে।

তারপরে আপনি সমস্ত নতুন আইটেমের জন্য সমস্ত নতুন ফাইলের সঠিক অনুমতি সেট আছে তা নিশ্চিত করতে ডিফল্ট ACL সেট করুন৷

1. একটি টার্মিনাল খুলুন।
2. এক্সিকিউট setfacl -mg: account:rx /data/sales и setfacl -mg:sales:rx /data/account.
3. এক্সিকিউট getfaclআপনার ইচ্ছামত অনুমতি সেট করা হয়েছে তা নিশ্চিত করতে।
4. এক্সিকিউট setfacl -md:g:account:rwx,g:sales:rx /data/salesবিক্রয় ডিরেক্টরির জন্য ডিফল্ট ACL সেট করতে।
5. ব্যবহার করে /data/account ডিরেক্টরির জন্য একটি ডিফল্ট ACL যোগ করুন setfacl -md:g:sales:rwx,g:account:rx /data/account.
6. /data/sales-এ একটি নতুন ফাইল যোগ করে ACL সেটিংস কার্যকর হয়েছে কিনা যাচাই করুন। সম্পূর্ণ স্পর্শ /ডেটা/বিক্রয়/নতুন ফাইল এবং চালান getfacl/data/sales/newfile বর্তমান অনুমতি পরীক্ষা করতে.

উমাস্কের সাথে ডিফল্ট অনুমতি সেট করা হচ্ছে

উপরে, আপনি ডিফল্ট ACL এর সাথে কিভাবে কাজ করবেন তা শিখেছেন। আপনি যদি ACL ব্যবহার না করেন তবে একটি শেল বিকল্প রয়েছে যা আপনি যে ডিফল্ট অনুমতিগুলি পাবেন তা নির্ধারণ করে: উমস্ক (বিপরীত মুখোশ)। এই বিভাগে, আপনি কীভাবে ডিফল্ট অনুমতিগুলি পরিবর্তন করবেন তা শিখবেন উমস্ক.

আপনি হয়তো লক্ষ্য করেছেন যে আপনি যখন একটি নতুন ফাইল তৈরি করেন, তখন কিছু ডিফল্ট অনুমতি সেট করা থাকে। এই অনুমতি সেটিং দ্বারা নির্ধারিত হয় উমস্ক. এই শেল সেটিং লগঅনে সমস্ত ব্যবহারকারীর জন্য প্রযোজ্য। প্যারামিটারে উমস্ক একটি সাংখ্যিক মান ব্যবহার করা হয়, যা ফাইলের জন্য স্বয়ংক্রিয়ভাবে সেট করা সর্বোচ্চ অনুমতি থেকে বিয়োগ করা হয়; ফাইলগুলির জন্য সর্বাধিক সেটিং হল 666 এবং ডিরেক্টরিগুলির জন্য 777।

যাইহোক, কিছু ব্যতিক্রম এই নিয়ম প্রযোজ্য. আপনি সেটিংস একটি সম্পূর্ণ ওভারভিউ খুঁজে পেতে পারেন উমস্ক নীচের টেবিলে।

ব্যবহৃত সংখ্যার মধ্যে উমস্ক, কমান্ডের জন্য সংখ্যাসূচক আর্গুমেন্টের ক্ষেত্রে chmod, প্রথম সংখ্যাটি ব্যবহারকারীর অনুমতিগুলিকে বোঝায়, দ্বিতীয় সংখ্যাটি গোষ্ঠীর অনুমতিগুলিকে বোঝায় এবং শেষটি অন্যদের জন্য সেট করা ডিফল্ট অনুমতিগুলিকে নির্দেশ করে৷ অর্থ উমস্ক ডিফল্ট 022 সমস্ত নতুন ফাইলের জন্য 644 এবং আপনার সার্ভারে তৈরি সমস্ত নতুন ডিরেক্টরিগুলির জন্য 755 দেয়।

সমস্ত সংখ্যাসূচক মানের সম্পূর্ণ ওভারভিউ উমস্ক এবং তাদের ফলাফল নীচের টেবিলে।

উমাস্ক সেটিং কীভাবে কাজ করে তা দেখার একটি সহজ উপায় নিম্নরূপ: ফাইলের ডিফল্ট অনুমতিগুলি 666 সেট করা দিয়ে শুরু করুন এবং কার্যকর অনুমতি পেতে উমাস্ক বিয়োগ করুন। ডিরেক্টরি এবং 777 এর ডিফল্ট অনুমতিগুলির জন্য একই কাজ করুন।

উমাস্ক সেটিং পরিবর্তন করার দুটি উপায় রয়েছে: সমস্ত ব্যবহারকারীর জন্য এবং স্বতন্ত্র ব্যবহারকারীদের জন্য। আপনি যদি সকল ব্যবহারকারীর জন্য umask সেট করতে চান, তাহলে আপনাকে অবশ্যই নিশ্চিত করতে হবে যে শেল এনভায়রনমেন্ট ফাইল শুরু করার সময় উমাস্ক সেটিংটি বিবেচনায় নেওয়া হয়েছে, যেমন /etc/profile-এ উল্লেখ করা আছে। সঠিক পদ্ধতি হল /etc/profile.d ডিরেক্টরিতে umask.sh নামে একটি শেল স্ক্রিপ্ট তৈরি করা এবং সেই শেল স্ক্রিপ্টে আপনি যে উমাস্কটি ব্যবহার করতে চান তা নির্দিষ্ট করুন। এই ফাইলে উমাস্ক পরিবর্তন করা হলে, সার্ভারে লগ ইন করার পরে এটি সমস্ত ব্যবহারকারীর জন্য প্রয়োগ করা হয়।

/etc/profile এবং সম্পর্কিত ফাইলগুলির মাধ্যমে umask সেট করার একটি বিকল্প, যেখানে এটি লগ ইন করা সমস্ত ব্যবহারকারীর ক্ষেত্রে প্রযোজ্য, প্রতিটি ব্যবহারকারীর হোম ডিরেক্টরিতে তৈরি করা .profile নামক একটি ফাইলে উমাস্ক সেটিংস পরিবর্তন করা।

এই ফাইলে প্রয়োগ করা সেটিংস শুধুমাত্র পৃথক ব্যবহারকারীর জন্য প্রযোজ্য; তাই এই একটি ভাল পদ্ধতি যদি আপনি আরো বিস্তারিত প্রয়োজন. আমি ব্যক্তিগতভাবে রুট ব্যবহারকারীর জন্য ডিফল্ট উমাস্ককে 027 এ পরিবর্তন করতে এই বৈশিষ্ট্যটি পছন্দ করি যখন সাধারণ ব্যবহারকারীরা 022-এর ডিফল্ট উমাস্কের সাথে চলছে।

বর্ধিত ব্যবহারকারীর বৈশিষ্ট্যগুলির সাথে কাজ করা

অধিকার সংক্রান্ত এটিই শেষ অধ্যায়। Linux.

অনুমতি নিয়ে কাজ করার সময়, একজন ব্যবহারকারী বা গ্রুপ অবজেক্ট এবং কোনো ফাইল বা ডিরেক্টরির উপর সেই ব্যবহারকারী বা গ্রুপ অবজেক্টের থাকা অনুমতির মধ্যে সর্বদা একটি সম্পর্ক থাকে। সার্ভারে ফাইল সুরক্ষিত করার একটি বিকল্প পদ্ধতি। Linux অ্যাট্রিবিউট নিয়ে কাজ করা।
ব্যবহারকারীর ফাইল অ্যাক্সেস করা নির্বিশেষে বৈশিষ্ট্যগুলি তাদের কাজ করে।

ACL এর মতো, ফাইলের বৈশিষ্ট্যগুলিকে বিকল্পটি অন্তর্ভুক্ত করতে হতে পারে পর্বত.

এটি একটি বিকল্প user_xattr. বর্ধিত ব্যবহারকারীর বৈশিষ্ট্যগুলির সাথে কাজ করার সময় আপনি যদি "অপারেশন সমর্থিত নয়" বার্তা পান তবে প্যারামিটার সেট করতে ভুলবেন না পর্বত /etc/fstab-এ।

অনেক গুণাবলী নথিভুক্ত করা হয়. কিছু বৈশিষ্ট্য উপলব্ধ কিন্তু এখনও প্রয়োগ করা হয়নি. তাদের ব্যবহার করবেন না; তারা তোমাকে কিছুই আনবে না।

নীচে আপনি প্রয়োগ করতে পারেন সবচেয়ে দরকারী বৈশিষ্ট্য:

A এই বৈশিষ্ট্যটি নিশ্চিত করে যে ফাইলের ফাইল অ্যাক্সেসের সময় পরিবর্তন না হয়।
সাধারণত, যখনই একটি ফাইল খোলা হয়, ফাইলের অ্যাক্সেসের সময় ফাইলের মেটাডেটাতে রেকর্ড করা আবশ্যক। এটি নেতিবাচকভাবে কর্মক্ষমতা প্রভাবিত করে; তাই নিয়মিতভাবে অ্যাক্সেস করা ফাইলগুলির জন্য, বৈশিষ্ট্য A এই বৈশিষ্ট্য নিষ্ক্রিয় করতে ব্যবহার করা যেতে পারে.

a এই বৈশিষ্ট্যটি আপনাকে একটি ফাইল যোগ করতে দেয় কিন্তু সরাতে দেয় না।

c আপনি যদি ভলিউম-লেভেল কম্প্রেশন সমর্থন করে এমন একটি ফাইল সিস্টেম ব্যবহার করেন, তাহলে এই ফাইল অ্যাট্রিবিউটটি নিশ্চিত করে যে প্রথমবার কম্প্রেশন মেকানিজম সক্রিয় করা হলে ফাইলটি সংকুচিত হয়েছে।

D এই বৈশিষ্ট্যটি নিশ্চিত করে যে ফাইলগুলির পরিবর্তনগুলি প্রথমে ক্যাশে করার পরিবর্তে অবিলম্বে ডিস্কে লেখা হয়। ফাইল ক্যাশে এবং হার্ড ড্রাইভের মধ্যে হারিয়ে না যায় তা নিশ্চিত করার জন্য এটি গুরুত্বপূর্ণ ডাটাবেস ফাইলগুলিতে একটি দরকারী বৈশিষ্ট্য।

d এই বৈশিষ্ট্যটি নিশ্চিত করে যে ফাইলটি ব্যাকআপে সংরক্ষণ করা হবে না যেখানে ডাম্প ইউটিলিটি ব্যবহার করা হয়।

I এই বৈশিষ্ট্যটি যে ডিরেক্টরিতে এটি সক্রিয় করা হয়েছে তার জন্য ইন্ডেক্সিং সক্ষম করে। এটি Ext3 এর মতো আদিম ফাইল সিস্টেমগুলির জন্য দ্রুত ফাইল অ্যাক্সেস সরবরাহ করে যা দ্রুত ফাইল অ্যাক্সেসের জন্য B-tree ডাটাবেস ব্যবহার করে না।

i এই বৈশিষ্ট্য ফাইলটিকে অপরিবর্তনীয় করে তোলে। অতএব, ফাইলে কোন পরিবর্তন করা যাবে না, যা অতিরিক্ত সুরক্ষা প্রয়োজন এমন ফাইলগুলির জন্য উপযোগী।

j এই বৈশিষ্ট্যটি নিশ্চিত করে যে, একটি ext3 ফাইল সিস্টেমে, ফাইলটি প্রথমে জার্নালে এবং তারপর হার্ড ডিস্কের ডেটা ব্লকগুলিতে লেখা হয়।

s ফাইল মুছে ফেলার পরে যে ব্লকগুলিতে ফাইলটি 0s এ সংরক্ষণ করা হয়েছিল সেগুলি ওভাররাইট করুন। এটি নিশ্চিত করে যে একটি ফাইল একবার মুছে ফেলা হলে পুনরুদ্ধার করা যাবে না।

u এই বৈশিষ্ট্যটি মুছে ফেলা সম্পর্কে তথ্য সংরক্ষণ করে। এটি আপনাকে একটি ইউটিলিটি বিকাশ করতে দেয় যা মুছে ফেলা ফাইলগুলি উদ্ধার করতে এই তথ্যের সাথে কাজ করে।

আপনি যদি বৈশিষ্ট্যগুলি প্রয়োগ করতে চান তবে আপনি কমান্ডটি ব্যবহার করতে পারেন চ্যাটার. উদাহরণস্বরূপ, ব্যবহার করুন chattr +s somefilesomefile এ বৈশিষ্ট্য প্রয়োগ করতে। একটি বৈশিষ্ট্য অপসারণ করতে হবে? তারপর ব্যবহার করুন chattr -s somefileএবং এটি অপসারণ করা হবে। বর্তমানে প্রয়োগ করা সমস্ত বৈশিষ্ট্যগুলির একটি ওভারভিউ পেতে, কমান্ডটি ব্যবহার করুন lsattr.

সারাংশ

এই নিবন্ধে, আপনি অনুমতি নিয়ে কাজ করতে শিখেছেন। আপনি তিনটি মৌলিক অনুমতি, উন্নত অনুমতি এবং কিভাবে একটি ফাইল সিস্টেমে ACL প্রয়োগ করতে হয় সে সম্পর্কে পড়েছেন। আপনি ডিফল্ট অনুমতি প্রয়োগ করতে umask বিকল্পটি কীভাবে ব্যবহার করবেন তাও শিখেছেন। এই নিবন্ধের শেষে, আপনি ফাইল সিস্টেম সুরক্ষার একটি অতিরিক্ত স্তর প্রয়োগ করতে ব্যবহারকারী-বর্ধিত বৈশিষ্ট্যগুলি কীভাবে ব্যবহার করবেন তা শিখেছেন।

আপনি যদি এই অনুবাদ পছন্দ করেন, তাহলে মন্তব্যে এটি সম্পর্কে লিখুন. দরকারী অনুবাদ করতে আরও অনুপ্রেরণা থাকবে।

নিবন্ধে কিছু টাইপো এবং ব্যাকরণগত ত্রুটি সংশোধন করা হয়েছে। ভাল পঠনযোগ্যতার জন্য কিছু ভারী অনুচ্ছেদকে ছোট করে ছোট করা হয়েছে।

এর পরিবর্তে "ডিরেক্টরীতে প্রশাসনিক অধিকার সহ শুধুমাত্র কেউই এক্সিকিউট পারমিশন প্রয়োগ করতে পারেন।" স্থির করা হয়েছে "ডিরেক্টরীতে লেখার অনুমতি আছে এমন কেউই এক্সিকিউট পারমিশন প্রয়োগ করতে পারবেন।", যা আরো সঠিক হবে।

মন্তব্যের জন্য ধন্যবাদ বেরেজ.

প্রতিস্থাপিত:
আপনি যদি ব্যবহারকারীর মালিক না হন, তাহলে শেলটি পরীক্ষা করবে যে আপনি একটি গোষ্ঠীর সদস্য কিনা, ফাইলের গোষ্ঠী হিসাবেও পরিচিত।

উপরে:
আপনি যদি ফাইলের মালিক না হন, তাহলে শেল পরীক্ষা করবে যে আপনি ফাইলটিতে অনুমতি আছে এমন একটি গোষ্ঠীর সদস্য কিনা। আপনি যদি এই গোষ্ঠীর সদস্য হন, তাহলে আপনি গ্রুপের সেট করা অনুমতিগুলির সাথে ফাইলটি অ্যাক্সেস করবেন এবং শেলটি পরীক্ষা করা বন্ধ করবে।

আপনার মন্তব্যের জন্য ধন্যবাদ ক্রিপ্টোপাইরেট

উত্স: www.habr.com