Õigused Linuxis (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

Tere kõigile. See on tõlge artiklist raamatust RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 ja EX300.

Minu poolt: Loodan, et artikkel on kasulik mitte ainult algajatele, vaid aitab ka kogenud administraatoritel oma teadmisi korraldada.

Nii et, lähme!

Failide juurde pääsemiseks Linuxis kasutatakse õigusi. Need õigused määratakse kolmele objektile: faili omanikule, grupi omanikule ja muule objekti (st kõigile teistele). Käesolevas artiklis saate teada, kuidas õigusi rakendada.

Artikkel algab põhikontseptsioonide ülevaatega, seejärel arutatakse eripäraseid õigusi (Special permissions) ja juurdepääsukontrolli nimekirju (ACL). Artikli lõpus käsitletakse vaikeõiguste seadistamist umask kaudu ja kasutaja laiendatud atribuute.

Failide omamise haldamine

Enne kui arutada õigusi, peate teadma faili ja katalooge omaniku rolli. Failide ja kataloogide omamine on õiguste haldamiseks hädavajalik. Käesolevas jaotises saate kõigepealt teada, kuidas näha omanikku. Seejärel saate teada, kuidas muuta faili ja katalooge omaniku grupi ja kasutaja.

Faili või katalooge omaniku kuvamine

Linuxis on iga faili ja iga katalooge kaks omanikku: kasutaja ja grupi omanik.

Need omanikud määratakse faili või katalooge loomisel. Faili loomisel muutub selle faili omanikuks see kasutaja, kes faili loob, ja selle kasutaja esmase grupi omanikuks. Et kindlaks teha, kas teil, kui kasutajal, on faili või katalooge juurde pääsemise õigused, kontrollib shell nende omamist.

See toimub järgmises järjestuses:

1. Shell kontrollib, kas olete faili omanik, millele soovite juurde pääseda. Kui olete selle omanik, saate õigused ja shell lõpetab kontrollimise.
2. Kui te ei ole faili omanik, kontrollib shell, kas olete grupi liige, kellel on sellele failile õigused. Kui olete selle grupi liige, saate faili juurde pääseda grupile määratud õigustega ja shell lõpetab kontrollimise.
3. Kui te ei ole ei kasutaja, ei ka grupi omanik, siis saate teiste kasutajate õigused (Other).

Praegu omandi määrangute vaatamiseks võite kasutada käsku ls -l. See käsk näitab kasutajat ja grupi omanikku. Allpool näete omandi seadeid kataloogides kataloogis /home.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

Käsk ls võite kuvada failide omaniku antud kataloogis. Mõnikord võib olla kasulik saada nimekiri kõikidest failidest süsteemis, mille omaniku rollis on see kasutaja või grupp. Selleks võite kasutada find. Argument find -user võib selleks otstarbeks kasutada. Näiteks järgmine käsk näitab kõiki faile, mille omaniku rollis on kasutaja linda:

find / -user linda

Saate kasutada ka find failide otsimiseks, mille teatud grupp on nende omanik.

Näiteks järgmine käsk otsib kõiki faile, mis kuuluvad gruppi users:

find / -group users

Omaniku muutmine

Soodsa volituse rakendamiseks on esimene asi, mida arvesse võtta, omandi küsimus. Selleks on olemas käsk chown. Selle käsku on lihtne mõista:

chown kes mida

Näiteks järgmine käsk muudab katalooge /home/account kasutaja lindaks:

chown linda /home/account

Meeskond chown omab mitmeid valikuid, millest üks on eriti kasulik: -R. Sa saad aru, mida see teeb, kuna see valik on saadaval ka paljude teiste käskude jaoks. See võimaldab sul rekursiivselt seada omaniku, võimaldades sul määrata omaniku praegusele kataloogile ja kõigile, mis asub allpool. Järgmine käsk muudab omaniku kataloogile /home ja kõigile, mis asub selle all, kasutaja lindaks:

Nüüd näevad omanikud välja järgmiselt:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Teeme:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

Nüüd on kasutaja lisa saanud omanikuks kataloogile account:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

Grupi omaniku muutmine

Grupi omandi muutmiseks on kaks meetodit. Saate seda teha, kasutades chown, kuid on olemas eriline käsk nimega chgrp, mis teeb seda tööd. Kui soovite kasutada käsku chown, siis kasutage . või : enne grupi nime.

Järgmine käsk muudab kasutaja grupi /home/account grupiks account:

chown .account /home/account

Saate kasutada chown kasutaja ja/või grupi omaniku muutmiseks mitmel viisil. Siin on mõned näited:

• chown lisa myfile1 seab kasutaja lisaks faili myfile1 omanikuks.
• chown lisa.sales myfile seab kasutaja lisaks faili myfile omanikuks ja määrab grupi sales selle faili grupi omanikuks.
• chown lisa:sales myfile on sama, mis eelmine käsk.
• chown .sales myfile seab grupi sales faili myfile omanikuks, muutes samas kasutaja omaniku.
• chown :sales myfile on sama, mis eelmine käsk.

Saate kasutada käsku chgrp, et muuta grupi omanikku. Vaatame järgmist näidet, kus saate chgrp seada katalooge account grupiks sales:

chgrp .sales /home/account

Nagu eelnevalt mainitud, chown, saate kasutada suvandid -R jot chgrp, samuti muuta grupi omanikku rekursiivselt.

Omandi mõistmine

Võisite märgata, et kui kasutaja loob faili, rakendatakse vaikimisi omanik.
Kasutaja, kes loob faili, saab automaatselt selle faili omanikuks, samuti saab selle kasutaja peamine grupp automaatselt selle faili omanikuks. Tavaliselt on see grupp, mis on määratud failis /etc/passwd selle kasutaja põhigruppina. Kuid kui kasutaja kuulub mitmesse gruppi, võib ta muuta oma efektiivset põhigruppi.

Käitumise demonstreerimiseks saab kasutaja kasutada käsku groups:

[root@server1 ~]# groups lisa
lisa : lisa account sales

Kui praegune kasutaja linda soovib muuta efektiivset peagruppi, siis peab ta kasutama käsku newgrp, millele järgneb grupi nimi, mille ta soovib määrata uueks efektiivseks peagrupiks. Pärast käsu kasutamist newgrp on peagrupp aktiivne, kuni kasutaja ei sisesta käsku exit või ei logi süsteemist välja.

Allpool on näidatud, kuidas kasutaja linda seda käsku kasutab, mille tulemusena on peagrupp grupiks sales:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

Peale peamise grupi muutmist saavad kõik uued kasutaja loodud failid selle grupi omanikuks. Originaalse peamise grupi tagasi saamiseks kasutage exit.

Pärast käsu kasutamiseks peab kasutaja olema selle grupi liige, mida ta soovib kasutada peamina. Lisaks võib grupi parooli kasutada rühma jaoks käsu newgrpgpasswd . Kui kasutaja kasutab käsku, kuid ei ole sihtgrupi liige, küsib shell grupi parooli. Pärast õige grupi parooli sisestamist seatakse uus efektiivne peamine grupp. newgrpPeamiste õiguste haldamine

Linuxi õiguste süsteem loodi 1970. aastatel. Arvestades, et arvutusvajadused olid tol ajal piiratud, oli põhiline õiguste süsteem üsna piiratud. See õiguste süsteem kasutab kolme õigust, mida saab rakendada failidele ja kataloogidele. Käesolevas jaos saate teada, kuidas neid õigusi kasutada ja muuta.

Arusaamine lugemise, kirjutamise ja käivitamise õigustest

Need kolm peamist õigust võimaldavad teil lugeda, kirjutada ja faile käivitada. Nende õiguste mõju erineb, kui neid rakendatakse failidele või kataloogidele. Faili puhul annab lugemise õigus teile õiguse avada faili lugemiseks. Seega saate selle sisu lugeda, kuid see tähendab, et teie arvuti suudab faili avada, et sellega midagi teha.

Programmfail, mis vajab juurdepääsu raamatukogule, peab näiteks olema selle raamatukogu lugemiseks juurdepääs. Seega on lugemise õigus kõige elementaarsem õigus, mida vajate failidega töötamiseks.

Katalooge lugedes võimaldab lugemine kuvada selle katalooge sisu. Peaksite teadma, et see õigus ei luba teil lugeda kataloogis olevaid faile. Linuxi õiguste süsteem ei tunne pärandit ja ainus viis faili lugemiseks on selle faili lugemise õiguste kasutamine.

Katalooge lugedes võimaldab lugemine kuvada selle katalooge sisu. Peaksite teadma, et see õigus ei luba teil lugeda kataloogis olevaid faile. Linuxi õiguste süsteem ei tunne pärandit ja ainus viis faili lugemiseks on selle faili lugemise õiguste kasutamine.

Kuidas näete, kirjutamisõigus, kui see on rakendatud failile, võimaldab faili kirjutada. Teisisõnu, see võimaldab olemasolevate failide sisu muuta. Kuid see ei luba uusi faile luua ega kustutada ega muuda faili juurdepääsuõigusi. Selleks tuleb anda kirjutamisõigus kataloogile, kus soovite faili luua. Kataloogides võimaldab see õigus ka uusi alampidusid luua ja kustutada.

Täideviimisõigus on see, mida vajate faili käitamiseks. See ei ole kunagi vaikimisi seadistatud, mis teeb Linuxi praktiliselt immuunseks viiruste vastu. Ainult keegi, kellel on kirjutamisõigus kataloogile, saab täideviimisõigust rakendada.

Allpool on kokkuvõte põhioiguste kasutamisest:

Kasutamine chmod

Õiguste haldamiseks kasutatakse käsku chmod. Käsklusest chmod saate määrata õigused kasutajale (user), rühmale (group) ja teistele (other). Saate seda käsku kasutada kahes režiimis: suhtelises režiimis ja absoluutses režiimis. Absoluutse režiimi korral kasutatakse kolme numbrit põhioiguste seadmiseks.

Õiguste seadmisel arvutage vajalik väärtus. Kui soovite määrata lugemise, kirjutamise ja täideviimise kasutajale, lugemise ja täideviimise rühmale ning lugemise ja täideviimise teistele failis /somefile, siis kasutate järgmist käsku chmod:

chmod 755 /somefile

Kui kasutate chmod sel viisil, asendatakse kõik praegused õigused teie seadistatud õigustega.

Kui soovite muuta õigusi varasemate õiguste suhtes, võite kasutada chmod suhtelises režiimis. Suhtelises režiimis töötades töötate kolme indikaatoriga, et näidata, mida soovite teha: chmod Esmalt näitate, kelle õigusi soovite muuta. Selleks võite valida kasutaja (

1. u), rühma () ja teiste (g). Seejärel kasutate operaatorit, et lisada või eemaldada õigusi praegusest režiimist või määrata need absoluutsetena.o).
2. Lõpuks kasutate
3. , et näidata, millised õigused soovite seada. r, w ja x, etten milliseid õigusi soovite määrata.

Suhetevaarses režiimis õiguste muutmisel võite osa «kellega» vahele jätta, et lisada või eemaldada luba kõigi objektide jaoks. Näiteks lisab see käsk kõigile kasutajatele täitmisõiguse:

chmod +x somefile

Suhetevaarses režiimis töötades võite kasutada ka keerulisemaid käske. Näiteks lisab see käsk kirjutamisõiguse grupile ja eemaldab lugemise teiste poolt:

chmod g+w,o-r somefile

Kasutades chmod -R o+rx /data seate täitmisõiguse kõigile kaustadele ja ka /data kausta failidele. Täitmisõiguse seadmiseks ainult kaustadele, mitte failidele, kasutage chmod -R o+ rX /data.

Suurtäht X tagab, et failid ei saa täitmisõigust, kui failil ei ole juba mõne objekti jaoks täitmisõigust. See teeb X-st targema viisi täitmisauditi haldamiseks; see aitab vältida õiguse seadmist failidele, kus see pole vajalik.

Laienenenud õigused

Peale põhiloata, millest just rääkisite, on Linuxis ka komplekt laiendatud õigusi. Need pole need õigused, mida te vaikimisi seadistate, kuid mõnikord pakuvad nad kasulikku lisa. Selles osas saate teada, mis need on ja kuidas neid seadistada.

Laienenenud õiguste SUID, GUID ja sticky bit mõistmine

On kolm täiustatud õigust. Esimene neist on kasutaja identifikaatori seadistamise õigus (SUID). Teatud erijuhtudel saate seda õigust rakendada käivitatavatele failidele. Vaikimisi käivitab käivitatava faili käivitav kasutaja selle faili oma õigustega.

Tavakasutajate puhul tähendab see tavaliselt, et programmi kasutamine on piiratud. Kuid mõnes olukorras vajab kasutaja erilise õiguse, et teatud ülesande täitmiseks.

Vaatame näiteks olukorda, kus kasutajal on vaja oma parooli vahetada. Selleks peab kasutaja kirjutama oma uue parooli faili /etc/shadow. Kuid see fail pole kirjutamiseks kergesti kättesaadav kasutajatele, kellel pole root-õigusi:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID luba pakub lahendust sellele probleemile. Utiliit /usr/bin/passwd kasutab seda luba vaikimisi. See tähendab, et parooli muutmisel saab kasutaja ajutiselt root-reisereid, mis võimaldab tal kirjutada faili /etc/shadow. Saate näha SUID luba ls -l kuidas s kohas, kus te tavaliselt ootate näha x kasutaja lubade jaoks:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID luba võib tunduda kasulik (ja mõnel juhul tõesti on), kuid samas on see potentsiaalselt ohtlik. Vale kasutamise korral võite kogemata anda root-õigusi. Seetõttu soovitan seda kasutada ainult äärmise ettevaatlikkusega.

Enamikul administraatoritest ei pea seda kunagi kasutama; näete seda ainult teatud failides, kus operatsioonisüsteem peab selle vaikimisi seadma.

Teine eriline luba on grupi identifikaator (SGID). Sellel lubal on kaks mõju. Kui see kehtib täidetava faili suhtes, annab see failiga seotud grupi omanikule õigused selle faili täitjale. Seega võib SGID teha rohkem või vähem sama, mis SUID. Siiski, selle eesmärgi jaoks ei kasutata SGID peaaegu kunagi.

Nii nagu SUID luba, rakendatakse SGID mõnedele süsteemifailidele vaikeseadetena.

Kui SGID kehtib katalooge suhtes, võib see olla kasulik, kuna saate seda kasutada katalooge ja faile luues vaikimisi grupi omanikuks seadmiseks. Vaikimisi, kui kasutaja loob faili, määratakse tema efektiivne põhi grupp selle faili grupi omanikuks.

See pole alati väga kasulik, eriti kuna Red Hat/CentOSi kasutajate jaoks on peamiseks grupiks sama nimega grupi, milles kasutaja on ainus liige. Seega on vaikimisi kasutaja loodud failid grupi kasutamiseks.

Kujutage ette olukorda, kus kasutajad linda ja lori töötavad raamatupidamises ja kuuluvad gruppi accountVaikimisi on need kasutajad privaatse grupi liikmed, mille ainus liige nad on. Siiski on mõlemad kasutajad grupi account liikmed, kuid ka teise grupi liikmena.

Vaikimisi, kui mõni neist kasutajatest loob faili, muutub peamine grupp omaniku grupiks. Seetõttu ei saa linda vaikimisi juurdepääsu lori loodud failidele ja vastupidi. Kui aga loote grupi jagamise katalooge (ütleme, /groups/account) ja tagate, et SGID õigused kehtivad sellele kataloogile ning et grupikonto on selle katalooge omanik, saavad kõik selle katalooge ja kõikides selle alamkataloogides loodud failid ka grupi account omanikuks vaikimisi.

Seetõttu on SGID-luba väga kasulik luba, mida saab seadistada jagatud rühmade kataloogides.

SGID luba kuvatakse väljundis ls -l kuidas s asendis, kus te tavaliselt leiate grupi täitmisõigused:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

Kolmas eriline lubade tüüp on sticky bit. See luba on kasulik failide kaitsmiseks juhusliku kustutamise eest keskkonnas, kus mitmed kasutajad võivad kirjutada samasse katalooge. Kui sticky bit on rakendatud, võib kasutaja faili kustutada ainult siis, kui ta on faili või selle faili sisaldava katalooge omanik. Seetõttu rakendatakse seda vaikimisi /tmp kataloogis ja see võib olla kasulik ka jagatud grupi kataloogides.

Ilma sticky bitita, kui kasutaja saab kataloogis faile luua, saab ta ka need kataloogist kustutada. Avalikus grupikeskkonnas võib see olla tüütav. Kujutage ette, et kasutajad linda ja lori, kellel mõlemal on kirjutamisõigus katalooge /data/account, saavad need õigus grupi account kaudu. Seetõttu võib linda kustutada lori loodud faile ja vastupidi.

Kui rakendate sticky bit, võib kasutaja faile kustutada ainult siis, kui on täidetud mõni järgmistest tingimustest:

• Kasutaja on faili omanik;
• Kasutaja on katalooge omanik, kus fail asub.

Kasutades ls -l, saate sticky biti näha kui t positsioonis, kus te tavaliselt näete muid käitamisloake:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

Kasutuste laiendatud õigused

SUID, SGID ja sticky bitti rakendamiseks võite samuti kasutada chmod. SUID-l on numbriline väärtus 4, SGID-l on numbriline väärtus 2 ja sticky bitil on numbriline väärtus 1.

Kui soovite neid õigusi rakendada, peate lisama neljakohalise argumendi chmod, mille esimene number viitab erikohtadele. Järgmine rida, näiteks, lisab SGID õiguse katalooge ning määrab rwx kasutajale ja rx grupile ning teistele:

chmod 2755 /somedir

See on üsna ebamugav, kui peate vaatama kehtivaid õigusi, mis on määratud enne töötamist chmod absoluutses režiimis. (Te riskite õiguste üle kirjutamise, kui te seda ei tee.) Seetõttu soovitan töötada suhtelises režiimis, kui peate rakendama mõnda erikohta:

1. SUID jaoks kasutage chmod u+s.
2. SGID jaoks kasutage chmod g+s.
3. Sticky bitti jaoks kasutage chmod +t, seejärel failinimi või kataloog, mille jaoks soovite õigusi määrata.

Tabelis on kokkuvõtlikult kõik, mida on oluline teada erikohtade haldamisest.

Näide erikohtade kasutamisest

Antud näites kasutate erikohti, et grupi liikmetel oleks lihtsam jagada faile ühises kataloogis. Määrate rühma ID-bit ning sticky bitti ja näete, et nende määramise järel lisanduvad funktsioonid, mis hõlbustavad grupi liikmete koostööd.

1. Avage terminal, kus olete kasutaja linda. Kasutaja loomine toimub käsuga useradd linda, lisage parool passwd linda.
2. Looge juurtasandil kataloog /data ja alamkataloog /data/sales käsuga mkdir -p /data/sales. Käivitage cd /data/sales, et minna sales kataloogi. Käivitage touch linda1 ja touch linda2, et luua kaks tühja faili, mille omanik on linda.
3. Käivitage su - lisa et vahetada praegune kasutaja kasutajaks lisa, kes on samuti sales grupi liige.
4. Käivitage cd /data/sales ja käivitage sellest kataloogist ls -l. Näete kahte faili, mis loodi kasutaja linda poolt ja kuuluvad rühmale linda. Käivitage rm -f linda*. See kustutab mõlemad failid.
5. Käivitage touch lisa1 ja touch lisa2, et luua kaks faili, mis kuuluvad kasutajale lisa.
6. Käivitage su - root taseme privilege'ide suurendamiseks.
7. Käivitage chmod g+s,o+t /data/sales, et määrata grupi identifikaatori bit (GUID) ning ka sticky bit ühise grupi kaustas.
8. Käivitage su — linda. Seejärel täitke touch linda3 ja touch linda4. Nüüd peaksite nägema, et kaks loodud faili kuuluvad grupile sales, kes on kaustas /data/sales grupi omanik.
9. Käivitage rm -rf lisa*. Sticky bit takistab nende failide kustutamist kasutaja linda nimel, kuna te ei ole nende failide omanik. Pange tähele, et kui kasutaja linda on kausta /data/sales omanik, saab ta nende faile ikkagi kustutada!

ACL haldamine (setfacl, getfacl) Linuxis

Isegi kui eelnevalt arutletud laiendatud õigused lisavad kasulikku funktsionaalsust Linuxi tööle lubamisõiguste osas, ei luba see teil anda õigusi rohkem kui ühele kasutajale või grupile ühe faili puhul.

Juhtimiskontrolli loendid pakuvad seda funktsiooni. Lisaks võimaldavad need administraatoritel seada vaikeõigusi keeruliselt, kus seatud õigused võivad erineda erinevates kaustades.

ACL mõistmine

Kuigi ACL alamsüsteem lisab teie serverile suurepäraseid funktsioone, on sellel üks puudus: mitte kõik utiliidid ei toeta seda. Seetõttu võite kaustade kopeerimise või liigutamise käigus ACL seadeid kaotada, ja varundustarkvara ei pruugi ACL seadeid varundada.

Tööriist tar ei toeta ACL. Veenduge, et ACL seaded ei kaoks varukoopia loomise ajal, kasutades star asetuse asemel tar, star mis töötab samade valikutega nagu tar; see lihtsalt lisab ACL seadeid toetuse.

Saate ka varundada ACL abil getfacl, mille saab taastada setfacl käsuga. Varukoopia loomiseks kasutage getfacl -R /directory > file.acls. Taastamise seadete jaoks varukoopiast failist kasutage setfacl —restore=file.acl.

Mõnede tööriistade toetuse puudumine ei tohiks olla probleem. ACL loendite rakendamine kaustadele on sageli struktuurne meede, mitte üksikutele failidele.
Seetõttu ei ole neid palju, vaid vaid mõned, rakendatuna nutikates kohtades failisüsteemis. Seega on algsete ACL-nimekirjade taastamine, millega töötasite, suhteliselt lihtne, isegi kui teie varundustarkvara ei toeta neid.

Failisüsteemi ettevalmistamine ACL-ide jaoks

Enne ACL-idega töötamist võib olla vajalik valmistada failisüsteem ette ACL-ide toetamiseks. Kuna failisüsteemi metaandmeid tuleb laiendada, ei pruugi failisüsteemi ACL-ide vaikimisi toetust olla. Kui saate õiguste nimekirjade seadistamisel teate „operation not supported“, ei pruugi teie failisüsteem ACL-e toetada.

Selle parandamiseks peate lisama valiku acl mount faili /etc/fstab, et failisüsteem oleks vaikevahetuses ACL-e toetav.

ACL-i seadistamine ja vaatamine setfacl ja getfacl abil

ACL-i seadistamiseks vajate käsku setfacl. Hetkeliste ACL-seadistuste nägemiseks vajate getfacl. Käsk ls -l ei näita mingeid olemasolevaid ACL-e; see näitab lihtsalt + lubade loendi lõpus, mis näitab, et ACL-id on rakendatud ka failile.

Enne ACL-e seadistamist on alati kasulik näidata praeguseid ACL-seadeid käsku kasutades getfacl. Allpool näete näite abil praeguseid õigusi, nagu näidatud ls -l, samuti, nagu on näidatud getfacl. Kui vaatate piisavalt tähelepanelikult, näete, et kuvatud teave on täpselt sama.

[root@server1 \/]# ls -ld \/dir\ndrwxr-xr-x. 2 root root 6 Feb 6 11:28 \/dir
[root@server1 \/]# getfacl \/dir
getfacl: Removing leading '\/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

Käsku täitmise tulemusena getfacl nähtub, et õigused on näidatud kolme erineva objekti jaoks: kasutaja, grupp ja teised. Nüüd lisame ACL-i, et andma lugemis- ja käivitamisõigusi grupile sales. Selleks on käsk setfacl -m g:sales:rx \/dir. Selle käsku -m näitab, et praeguseid ACL-seadeid tuleb muuta. Pärast seda g:sales:rx teavitab käsku, et seadistada ACL lugemis- ja käivitamisõiguseks (rx) grupile (g) sales. Allpool näete, milline käsk välja näeb, samuti getfacl-käsku tagastatud väljund pärast praeguste ACL-seadeid muutmist.

[root@server1 \/]# setfacl -m g:sales:rx \/dir
[root@server1 \/]# getfacl \/dir
getfacl: Removing leading '\/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

Nüüd, kui te mõistate, kuidas muuta rühmapõhiseid ACL-e, on lihtne mõista ACL-e kasutajate ja teiste jaoks. Näiteks käsk setfacl -m u:linda:rwx /data annab õigused kasutajale linda kaustas /data, muutes teda samas omanikuks ja mitte muutes hetke omaniku määrangut.

Meeskond setfacl omab palju võimalusi ja valikuid. Üks variant on eriti oluline, parameeter -R. Kui seda kasutatakse, seadistus teeb ACL-i seadistamise kõikidele failidele ja alamkaustadele, mis hetkel asuvad kaustas, kus te ACL-e seadistate. Soovitav on seda valikut alati kasutada, kui muudate ACL-nimekirju olemasolevates kaustades.

Töötamine põhise ACL-iga

Üks ACL-nimekirjade kasutamise eeliseid on see, et saate anda õigusi mitmele kasutajale või rühmale kaustas. Teine eelis on see, et saate lisada pärimise, töötades põhise ACL-iga.

Seades põhise ACL-i, määrate õigused, mis kehtivad kõigile uutele elementidele, mis luuakse kaustas. Pidage meeles, et põhised ACL-id ei muuda olemasolevate failide ja alamkaustade õigusi. Nende muutmiseks peate lisama ka tavalise ACL-i!

See on oluline teada. Kui soovite kasutada ACL-e mitme kasutaja või grupi juurdepääsu seadistamiseks samasse kausta, peate ACL-i seadistama kaks korda. Esiteks kasutage setfacl -R -m, et muuta ACL-i olemasolevatele failidele. Seejärel kasutage setfacl -m d:, et hoolitseda kõigi uute elementide eest, mis samuti luuakse.

Põhise ACL-i seadistamiseks peate lihtsalt lisama valiku d pärast valikut -m (!järjekord on oluline!). Seega kasutage setfacl -m d:g:sales:rx /data, kui soovite, et müügigrupp saaks lugeda ja käivitada kõike, mis kunagi loodud kaustas /data.

Põhiste ACL-idega töötamisel võib samuti olla kasulik seada ACL teistesse. Tavaliselt ei oma see erilist tähendust, kuna saate ka muuta õigusi teiste jaoks, kasutades chmod. Kuid seda te ei saa teha kasutades chmod, see märkida õigused, mis peavad olema antud teistele kasutajatele iga uue faili jaoks, mis kunagi loodakse. Kui soovite, et teised ei saaks mingeid õigusi midagi, mis on loodud \/data, siis näiteks kasutage setfacl -m d:o::- \/data.

ACL ja tavalised õigused ei ole alati hästi integreeritud. Probleemid võivad tekkida, kui olete rakendanud ACL vaikeväärtusena kaustale, pärast mida on kausta lisatud esemeid ja seejärel proovite muuta tavalisi õigusi. Tavalistele õigustele rakendatavad muudatused ei peegeldu hästi ACL-i ülevaates. Probleemide vältimiseks seadistage kõigepealt tavalised õigused, seejärel seadistage vaikimisi ACL (ja pärast seda püüdke neid uuesti mitte muuta).

Näide laiendatud õiguste haldamisest kasutades ACL-i

Selles näites jätkate töötamist kaustadega \/data\/account ja \/data\/sales, mille olete varem loonud. Eelmistes näidetes olete taganud, et rühmal sales on õigused \/data\/sales, ja rühmal account on õigused \/data\/account.

Esiteks veenduge, et rühm account saaks lugemisõigused kaustas \/data\/sales, ja rühm sales saaks lugemisõigused kaustas \/data\/account.

Seejärel seadistate vaikimisi ACL-id, et veenduda, et kõigi uute failide õigused on kõikidele uutele elementidele õigesti seadistatud.

1. Avage terminal.
2. Käivitage setfacl -m g:account:rx \/data\/sales ja setfacl -m g:sales:rx \/data\/account.
3. Käivitage getfacl, et veenduda, et juurdepääsuõigused on seadistatud nii, nagu soovisite.
4. Käivitage setfacl -m d:g:account:rwx,g:sales:rx \/data\/sales, et seadistada vaikimisi ACL müügi kaustas.
5. Lisage vaikimisi ACL kausta \/data\/account, kasutades setfacl -m d:g:sales:rwx,g:account:rx \/data\/account.
6. Veenduge, et ACL-i seaded toimivad, lisades uue faili kausta \/data\/sales. Täitke touch \/data\/sales\/newfile ja käivitage getfacl \/data\/sales\/newfile , et kontrollida praeguseid õigusi.

Vaikimisi õiguste seadmine umaski

Nagu ülalpool mainitud, õppisite, kuidas töötada vaikimisi ACL-idega. Kui te ei kasuta ACL-e, on olemas shell'i parameeter, mis määrab vaikimisi õigused, mida te saate: umask (tagasi mask). Selles jaotises õpite, kuidas muuta vaikimisi õigusi, kasutades umask.

Olete tõenäoliselt märganud, et uue faili loomisel seadistatakse teatud vaikimisi õigused. Need õigused määratakse seade kaudu umask. See Shell's parameter applies to all users upon login. In the parameter umask the numerical value is used, which is subtracted from the maximum permissions that can be automatically set for a file; the maximum setting for files is 666, and for directories, it is 777.

However, there are some exceptions to this rule. You can find a complete overview of the settings umask in the table below.

From the digits used in umask, as in the case of numerical arguments for the command chmod, the first digit refers to user permissions, the second digit pertains to group permissions, and the last relates to default permissions set for others. The value umask by default 022 gives 644 for all new files and 755 for all new directories created on your server.

A complete overview of all numerical values umask and their results is in the table below.

A simple way to see how the umask parameter works is as follows: start with the default file permissions set to 666, and subtract the umask to get the effective permissions. Do the same for the directory and its default permissions of 777.

There are two ways to change the umask setting: for all users and for individual users. If you want to set the umask for all users, you must ensure that the umask parameter is taken into account when running shell environment files, as specified in /etc/profile. The proper approach is to create a shell script named umask.sh in the /etc/profile.d directory and specify the umask you want to use in this shell script. If the umask is altered in this file, it applies to all users after logging into the server.

An alternative to setting umask via /etc/profile and related files, where it applies to all users logging in, is to change the umask settings in a file named .profile, which is created in each user’s home directory.

The settings applied in this file are only applicable to the individual user; thus, this is a good method if you need more granularity. Personally, I like this feature to change the default umask value for the root user to 027, whereas regular users operate with a default umask of 022.

Töötamine kasutaja laiendatud atribuutidega

See on viimane osa Linuxi õigustest.

Failide õigustega töötamisel eksisteerib alati suhe kasutaja või grupi objekti ning nendel objektidel oleva faili või katalooge õiguste vahel. Alternatiivne meetod failide kaitsmiseks Linuxi serveris on töötamine atribuutidega.
Atribuudid täidavad oma ülesandeid sõltumatult sellest, milline kasutaja faile küsib.

Nagu ka ACL-i puhul, võib faili atribuutide jaoks olla vajalik lubada valik mount.

See on valik user_xattr. Kui saate sõnumi «operation not supported» töötades kasutaja laiendatud atribuutidega, veenduge, et olek oleks seadistatud mount failis /etc/fstab.

Paljusid atribuute on dokumenteeritud. Mõned atribuudid on saadaval, kuid veel ei ole neid rakendatud. Ära kasuta neid; need ei prugi sulle midagi anda.

Allpool on kõige kasulikumad atribuudid, mida saate kasutada:

A See atribuut garanteerib, et faili juurde pääsemise aeg ei muutu.
Tavaliselt salvestatakse iga kord, kui fail avatakse, faili juurde pääsemise aeg faili metaandmetesse. See mõjutab jõudlust negatiivselt; seetõttu saab atribuutit A kasutada selle funktsiooni keelamiseks regulaarse juurdepääsuga failide puhul.

a See atribuut võimaldab lisada, kuid mitte faili kustutada.

c Kui kasutate failisüsteemi, mis toetab mahu tasemel rõhukompressiooni, garanteerib see failinimede atribuut, et fail kompressitakse esmakordselt, kui rõhumehhanism sisselülitatakse.

D See atribuut garanteerib, et muudatused failides salvestatakse koheselt kettale, mitte esmalt vahemälu. See on kasulik atribuut oluliste andmebaasifailide jaoks, et tagada, et need ei kaoks failide vahemälu ja kõvaketta vahel.

d See atribuut garanteerib, et faili ei salvestata varukoopiate tegemisel, kus kasutatakse dump utiliiti.

I See atribuut lubab indeksimist kataloogis, milles see on lubatud. See tagab kiirema juurdepääsu failidele primitiivsetes failisüsteemides, nagu Ext3, mis ei kasuta B-tree andmebaasi kiireks failide leidmiseks.

i See atribuut muudab faili muutumatuks. Seega ei saa faili muuta, mis on kasulik failide jaoks, mis vajavad täiendavat kaitset.

j See atribuut garanteerib, et fail salvestatakse esmalt registrisse ja seejärel füüsilisse mälusse ext3 failisüsteemis.

s Üle kirjutada plokid, kuhu fail oli salvestatud, nullidega pärast faili kustutamist. See tagab, et faili taastamine pole võimalik pärast selle kustutamist.

), rühma ( See atribuut säilitab kustutamise teabe. See võimaldab välja töötada utiliidi, mis töötab selle teabega kustutatud failide taastamiseks.

Kui soovite rakendada atribuute, võite kasutada käsku chattr. Näiteks kasutage chattr +s somefile, et rakendada atribuute somefile'ile. Kui soovite atribuuti eemaldada, kasutage chattr -s somefile, ja see eemaldatakse. Praeguste rakendatud atribuutide ülevaate saamiseks kasutage käsku lsattr.

Elulookirjeldus

Selles artiklis tutvustasite, kuidas töötada õigustega. Lugesite kolmest põhioigusest, laiendatud õigustest ja sellest, kuidas rakendada ACL-loendeid failisüsteemis. Samuti tutvustasite, kuidas kasutada umask parameetrit vaikeõiguste rakendamiseks. Artikli lõpus õppisite, kuidas kasutada kasutaja laiendatud atribuute, et rakendada failisüsteemile täiendavat turvakihi.

Kui see tõlge Teile meeldib, palun andke sellest teada kommentaarides. See annaks rohkem motivatsiooni teha kasulikke tõlkeid.

Artiklis parandasime mõned trükivead ja grammatikavead. Vähendasin mõningaid mahukaid lõike väiksemateks, et neid oleks kergem lugeda.

Tõin välja: „Ainult keegi, kellel on administreerimisõigused kataloogis, saab rakendada täitmisõigust.” muutisin „Ainult keegi, kellel on kirjutamisõigus kataloogis, saab rakendada täitmisõigust.”, mis on täpsem.

Tähelepanekute eest tänan berez.

Asendatud:
Kui te ei ole omaniku kasutaja, uurib shell, kas te olete grupi liige, mida nimetatakse ka faili grupiks.

Muudetud:
Kui te ei ole faili omanik, kontrollib shell, kas olete grupi liige, kellel on sellele failile õigused. Kui olete selle grupi liige, saate faili juurde pääseda grupile määratud õigustega ja shell lõpetab kontrollimise.

Aitäh märkuse eest CryptoPirate

Allikas: habr.com