Linuxi õigused (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

Tere kõigile. See on tõlge artiklist raamatust RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 ja EX300.

Minu poolt: Loodan, et artikkel on kasulik mitte ainult algajatele, vaid aitab ka kogenumatel administraatoritel oma teadmisi korrastada.

Nii et, hakkame pihta.

Linuxis faili- ja kaustafailide juurde pääsemiseks kasutatakse õigusi. Need õigused määratakse kolmele objektile: faili omanikule, grupi omanikule ja muule objektile (st kõigile teistele). Selles artiklis saate teada, kuidas õigusi rakendada.

Artikkel algab peamiste mõistete ülevaatega, millele järgneb spetsiifiliste õiguste (Special permissions) ja juurdepääsukontrollide (ACL) arutelu. Artikli lõpus käsitletakse vaike õiguste seadeid umask'i kaudu ning kasutaja laiendatud atribuutide haldamist.

Failide omamise haldamine

Enne õiguste arutamist peate teadma faili ja kausta omaniku rolli. Failide ja kaustade omamine on õiguste haldamiseks äärmiselt oluline. Selles jaotises saate kõigepealt teada, kuidas näha omanikku. Seejärel saate teada, kuidas muuta grupi ja kasutaja omaniku seadistusi failide ja kaustade puhul.

Faili või katalooge omaniku kuvamine

Linuxis on igal failil ja igal kataloogil kaks omanikku: kasutaja ja grupi omanik.

Need omanikud määratakse faili või katalooge loomisel. Faili loomise ajal muutub kasutaja selle faili omanikuks ning tema põhigrupp saab samuti selle faili omanikuks. Selleks, et kindlaks teha, kas teil, kasutajana, on faili või katalooge juurde pääsemise õigused, kontrollib kesta nende omamist.

See toimub järgmises järjekorras:

1. Kesta kontrollib, kas olete faili omanik, millele soovite juurde pääseda. Kui olete selle omanik, antakse teile õigused ja kesta lõpetab kontrollimise.
2. Kui te ei ole faili omanik, kontrollib kesta, kas olete grupi liige, kellel on sellele failile õigused. Kui olete selle grupi liige, antakse teile juurdepääs failile gruppide jaoks kehtestatud õigustega ning kesta lõpetab kontrollimise.
3. Kui te ei ole grupi kasutaja ega omanik, omandate teiste kasutajate õigused (Other).

Selleks, et näha omaniku praeguseid määranguid, saate kasutada käsku ls -l. See käsk näitab kasutajat ja grupi omaniku. Allpool saate näha omaniku seadeid kataloogides katalooge /home.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

Käsk ls võib kuvada failide omaniku antud kataloogis. Mõnikord võib osutuda kasulikuks saada nimekiri kõigist süsteemi failidest, mille omanikuks on määratud see kasutaja või grupp. Selleks võite kasutada find. Argument find -user saab selle eesmärgi täitmiseks kasutada. Näiteks näitab järgmine käsk kõiki faile, mille omanikuks on määratud kasutaja linda:

find / -user linda

Samuti võite kasutada find failide otsimiseks, mille omanikuks on teatud rühm.

Näiteks järgnev käsk otsib kõiki faile, mis kuuluvad grupile users:

find / -group users

Omaniku muutmine

Asjakohaste õiguste rakendamiseks on esimene asi, mida kaaluda, omamine. Selleks on käsk chown. Selle käsu syntaks pole keeruline:

chown kellele millele

Näiteks järgnev käsk muudab katalooge /home/account kasutaja lindast:

chown linda /home/account

Meeskond chown on mitmeid valikuid, üks neist on eriti kasulik: -R. Võite arvata, mida see teeb, sest see valik on saadaval paljude teiste käskude puhul. See võimaldab teil rekursiivselt seadistada omaniku, võimaldades teil määrata omaniku käesolevale kataloogile ja kõigile seal all olevatele. Järgmine käsk muudab omaniku kasutajaks linda kataloogis /home ja selle all olevas struktuuris:

Praegu on omanikud järgmised:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Teeme:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

Nüüd on kasutaja lisa saanud katalooge account omanikuks:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

Rühma omaniku muutmine

On kaks võimalust, kuidas muuta rühma omanikku. Saate seda teha, kasutades chown, kuid on olemas spetsiaalne käsk nimega chgrp, mis teeb selle töö. Kui soovite kasutada käsku chown, kasutage . või : rühma nime ees.

Järgmine käsk muudab rühma omaniku /home/account rühmaks account:

chown .account /home/account

Saate kasutada chown omaniku ja/või rühma muutmiseks mitmel viisil. Siin on mõned näited:

• chown lisa myfile1 seab kasutaja lisa myfile1 faili omanikuks.
• chown lisa.sales myfile seab kasutaja lisa faili omanikuks, samuti muudab rühma sales selle faili omanikuks.
• chown lisa:sales myfile on sama, mis eelmine käsk.
• chown .sales myfile seab rühma sales faili myfile omanikuks ilma kasutaja omaniku muutmiseta.
• chown :sales myfile on sama, mis eelmine käsk.

Saate kasutada käsku chgrp, et muuta rühma omanikku. Vaadake järgmist näidet, kus saate chgrp seada katalooge account rühmaks sales:

chgrp .sales /home/account

Nii nagu eelnevalt chown, saate kasutada valikut -R koos chgrp, samuti muuta grupi omaniku rekursiivselt.

Vaikimisi omanik

Olete ehk märganud, et kui kasutaja loob faili, rakendatakse vaikimisi omandit.
Faili loonud kasutaja on automaatselt selle faili omanik, ja selle kasutaja põhigrupp muutub automaatselt selle faili omanikuks. Tüüpiliselt on see grupp, mis on failis /etc/passwd määratud kasutaja põhigrupp. Kuid kui kasutaja kuulub mitmesse gruppi, võib ta muutuda tõhusaks põhigruppideks.

Et näidata praegust tõhusat põhirühma, võib kasutaja kasutada käsku groups:

[root@server1 ~]# groups lisa
lisa : lisa account sales

Kui praegune kasutaja linda soovib muuta oma tõhusat põhigruppi, peab ta kasutama käsku newgrp, millele järgneb grupi nimi, mille ta soovib seada uueks tõhusaks põhigruppiks. Pärast käsu kasutamist newgrp põhirühm peab olema aktiivne, kuni kasutaja sisestab käsu exit või logib välja.

Allpool on näidatud, kuidas kasutaja linda seda käsku kasutab, kui esmane grupp on muutunud grupiks sales:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

Peale esmaste grupi muutmist saavad kõik uued failid, mille kasutaja loob, selle grupi omaniku rühmaks. Esialgse esmaste grupi seadistuse tagasitoomiseks kasutage exit.

Kasutamiseks newgrp, peab kasutaja olema selle grupi liige, mida ta soovib kasutada esmasena. Lisaks võib grupi parooli kasutada grupi jaoks käsu gpasswd. Kui kasutaja kasutab käsku newgrp, kuid ei ole sihtgrupi liige, küsib kest parooli grupi jaoks. Pärast õigete grupi parooli sisestamist seatakse uus efektiivne esmane grupp.

Peamiste õiguste haldamine

Linuxi õiguste süsteem leiutati 1970. aastatel. Kuna sel ajal olid arvutusvajadused piiratud, oli algne õiguste süsteem üsna piiratud. See õiguste süsteem kasutab kolme õigust, mida saab rakendada failidele ja kataloogidele. Selles jaotises õpid, kuidas neid õigusi kasutada ja muuta.

Lugemise, kirjutamise ja täitmise õiguste mõistmine

Kolm peamist õigust võimaldavad sul lugeda, kirjutada ja faile täita. Nende õiguste mõju erineb failide ja kataloogide puhul. Faili puhul annab lugemise õigus sulle õiguse faili avada ja selle sisu lugeda. See tähendab, et sinu arvuti saab faili avada, et midagi selle tegemiseks teha.

Programmirakenduse fail, mis vajab juurdepääsu teegile, peab näiteks selle teegi lugemiseks olema juurdepääs. Seega on lugemise õigus kõige põhilisem õigus, mida vajad failidega töötamiseks.

Katalooge lugemine võimaldab selle sisu kuvada. Peate teadma, et see luba ei luba teil kataloogis faile lugeda. Linuxi lubade süsteem ei tunne pärimist ning ainus viis faili lugemiseks on selle faili lugemisõiguste omamine.

Nagu võite arvata, lubab kirjutamisõigus, kui see on määratud failile, failis kirjutada. Teisisõnu, see võimaldab olemasolevate failide sisu muuta. Kuid see ei luba uusi faile luua ega eemaldada ega faili õigusi muuta. Selleks peate andma kirjutamisõiguse kataloogile, kus soovite faili luua. Kataloogides lubab see õigus ka uusi alamkatalooge luua ja eemaldada.

Täitemismeetmed on see, mida vajate faili käitamiseks. See ei ole kunagi vaikimisi sisse lülitatud, mis teeb Linuxi praktiliselt täiesti vastupidavaks viirustele. Ainult keegi, kellel on kirjutamisõigus kataloogile, saab täitmise õigust rakendada.

Allpool on kokku võetud põhiliste lubade kasutamine:

chmod kasutamine

Õiguste haldamiseks kasutatakse käsku chmod. Kasutades chmod saate seada õigusi kasutajale (user), grupile (group) ja teistele (other). Seda käsku saab kasutada kahes režiimis: suhtelises režiimis ja absoluutrežiimis. Absoluutrežiimis kasutatakse kolme numbrit peamiste õiguste seadmiseks.

Õiguste seadmisel arvutage soovitud väärtus. Kui soovite seada lugemise, kirjutamise ja käitamise õigused kasutajale, lugemise ja käitamise õigused grupile ning lugemise ja käitamise õigused teistele failis /somefile, siis kasutage järgmist käsku chmod:

chmod 755 /somefile

Kui kasutate chmod sellisel viisil, asendatakse kõik praegused õigused teie seadmiseks pandud õigustega.

Kui soovite muuta õigusi praeguste õiguste suhtes, võite kasutada chmod suhtelises režiimis. Suhtelises režiimis kasutades töötate kolme indikaatoriga, et näidata, mida soovite teha: chmod relatiivselt töötades kasutate kolme indikaatorit, et näidata, mida te soovite teha:

1. Esiteks näitate, kelle õigusi soovite muuta. Selleks võite valida kasutaja (u), grupi (g) ja teiste (o).
2. Seejärel kasutate operaatorit, et lisada või eemaldada õigusi praeguses režiimis või seada need täiesti.
3. Lõpuks kasutate r, w ja x, et määrata, milliseid õigusi soovite seadistada.

Kui muudate õigusi suhtelises režiimis, saate osa 'kellele' vahele jätta, et lisada või eemaldada õigus kõikidele objektidele. Näiteks see käsk annab kasutusõiguse kõigile kasutajatele:

chmod +x somefile

Suhtelises režiimis töötades võite kasutada ka keerukamaid käske. Näiteks see käsk lisab kirjutamisõiguse grupile ja eemaldab lugemisoiguse teistele:

chmod g+w,o-r somefile

VPN-teenuse kasutamisel chmod -R o+rx /data seate kõigile kataloogidele, samuti katalooge sisaldavatele failidele täitmisõiguse. Kui soovite seada täitmisõiguse ainult kataloogidele, mitte failidele, kasutage chmod -R o+ rX /data.

X ülemine registri tagab, et failide käitamise õigusi ei anta, kui fail ei ole juba andnud mõned õigused käitamiseks. See teeb X-st mõistlikuma viisi käitamisõiguste haldamiseks; see aitab vältida käitamisõiguste andmist failidele, kus seda ei vajata.

Laienenud õigused

Lisaks põhilistele õigustele, millest just rääkisite, on Linuxis ka komplekt laienenud õigusi. Need ei ole õigused, mida te vaikimisi seadistate, kuid mõnikord pakuvad need kasulikku täiendust. Selles osas õpite, mis need on ja kuidas neid seadistada.

Laienenud õiguste SUID, GUID ja sticky bit mõistmine

On kolm edasijõudnud õigust. Esimene neist on kasutaja identiteedi seadistamise õigus (SUID). Teatud erilistes olukordades võite selle õiguse rakendada täitmisfailidele. Vaikimisi käivitab failiga töötav kasutaja selle oma õigustega.

Tavaliste kasutajate puhul tähendab see tavaliselt, et programmi kasutamine on piiratud. Kuid mõnel juhul vajab kasutaja teatud ülesande täitmiseks eraldi õigusi.

Võtame näiteks olukorra, kus kasutaja peab vahetama parooli. Selleks peab kasutaja kirjutama oma uue parooli faili /etc/shadow. Kuid see fail ei ole kirjutamiseks kergesti kättesaadav kasutajatele, kellel ei ole root õigusi:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID-luba pakub sellele probleemile lahendust. Failis /usr/bin/passwd rakendatakse seda lubamist vaikimisi. See tähendab, et parooli vahetamisel saab kasutaja ajutiselt root õigused, mis võimaldavad tal kirjutada faili /etc/shadow. Saate näha SUID-luba ls -l kuidas s positsioonis, kus te tavaliselt ootate nähtud x kasutaja õiguste jaoks:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID-i lubamine võib tunduda kasulik (ja mõnel juhul tõepoolest on), kuid samas on see potentsiaalselt ohtlik. Vale kasutamise korral võite kogemata anda root-kasutaja õigused. Seetõttu soovitan seda kasutada ainult äärmise ettevaatlikkusega.

Enamikul administraatoritel ei tule seda kunagi kasutada; te näete seda ainult mõnedes failides, kus operatsioonisüsteem peab selle vaikimisi seadma.

Teine eriline lubamine on grupi identifikaator (SGID). Sellel lubamisel on kaks mõju. Kui seda rakendatakse täidetavale failile, annab see faili täitjale selle faili grupi omaniku õigused. Seega võib SGID teha enam-vähem sama, mida SUID. Siiski ei kasutata SGID-i selle eesmärgi jaoks praktiliselt kunagi.

Nagu SUID-i puhul, rakendatakse SGID mõnedele süsteemifailidele vaikeseadetena.

Katalooge rakendades võib SGID olla kasulik, sest seda saab kasutada selleks, et määrata vaikimisi rühma omanikuks kaustas loodud failide ja alamkaustade jaoks. Vaikimisi seotakse, kui kasutaja loob faili, selle efektiivne esmane rühm faili rühma omanikuks.

See ei ole alati väga kasulik, eriti kuna Red Hat/CentOS kasutajatel on nende peamiseks rühmaks rühm, mille nimi on sama, mis kasutajal, ja nad on ainukesed selle osalised. Seega on vaikimisi failid, mida kasutaja loob, ühiseks rühmaks.

Kujutage ette olukorda, kus kasutajad linda ja lori töötavad raamatupidamises ja on rühma account. Vaikimisi on need kasutajad liikmed erarühmast, mille ainus liige nad on. Küll aga on mõlemad kasutajad ka rühma account liikmed, kuid samas ka teise rühma osalised.

Vaikimisi olukord on see, et kui ükskõik milline neist kasutajatest loob faili, siis muutub põhigrupp omanikuks. Seega ei saa vaikimisi linda juurde pääseda lori loodud failidele ja vastupidi. Kuid kui loote grupi jagatud katalooge (ütleme, /groups/account) ja veendute, et SGID õigustus on sellele kataloogile rakendatud ning grupi konto on seadistatud selle katalooge grupi omaniku õiguseks, saavad kõik selles kataloogis ja kõigis selle alamkataloogides loodud failid samuti konto grupist vaikimisi grupi omanikuks.

Seetõttu on SGID õigustus väga kasulik õigustus, mida seada grupi jagatud kataloogidesse.

SGID õigust näidatakse väljundis ls -l kuidas s kohtades, kus tavaliselt leidub grupi täitmisõigus:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

Kolmas eriline luba on sticky bit. See luba on kasulik failide kaitsmiseks juhusliku kustutamise eest keskkonnas, kus mitmel kasutajal on kirjutamisõigused samasse katalooge. Kui sticky bit on aktiivne, saab failid kustutada ainult kasutaja, kes on selle faili või faili sisaldava katalooge omanik. Seetõttu on see vaikimisi luba kataloogile /tmp ja võib olla kasulik ka ühiste rühmade kataloogidele.

Ilma sticky bitita, kui kasutajal on luba luua faile kataloogis, on tal ka õigus kustutada faile sellest kataloogist. Avalikus grupikeskkonnas võib see olla häiriv. Kujutage endale ette kasutajaid linda ja lori, kellel on mõlema kirjutamisõigused kataloogis /data/account, ning nad on saanud need õigused osalemise kaudu grupis account. Seetõttu saab linda kustutada failid, mille on loonud lori, ja vastupidi.

Kui rakendate sticky biti, saab kasutaja faile kustutada ainult siis, kui täidetakse üks järgmistest tingimustest:

• Kasutaja on faili omanik;
• Kasutaja on faili asukoha katalooge omanik.

VPN-teenuse kasutamisel ls -l, saate sticky bitti näha t kohta, kus tavaliselt näete täitevõimet teiste jaoks:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

Omandatud õiguste rakendamine

SUID, SGID ja sticky bitti rakendamiseks võite kasutada ka chmod. SUID-l on numbriline väärtus 4, SGID-l on numbriline väärtus 2 ja sticky bit-l on numbriline väärtus 1.

Kui soovite neid õigusi rakendada, peate lisama neljakohalise argumendi chmod, mille esimene number viitab erilistele õigustele. Järgmine rida lisab näiteks SGID õiguse kataloogile ja seab rwx kasutajale ning rx grupile ja teistele:

chmod 2755 /somedir

See on üsna ebamugav, kui peate vaatama praeguseid juurdepääsuõigusi enne, kui töötate chmod absoluutses režiimis. (Te riskite õiguste üle kirjutamise, kui te seda ei tee.) Seetõttu soovitan töötada suhtelises režiimis, kui peate rakendama mõnda erilist õigust:

1. SUID jaoks kasutage chmod u+s.
2. SGID jaoks kasutage chmod g+s.
3. Sticky bitti jaoks kasutage chmod +t, ja seejärel faili või katalooge nimi, mille jaoks soovite õigused seadistada.

Tabelis on kokku võetud kõik, mida on oluline teada eriloakohase haldamise kohta.

Näide erilise õiguste kasutamisest

Selles näites kasutate eriloakohaseid õigusi, et lihtsustada grupi liikmete failide vahetamist ühises kataloogis. Määrate seadistatud grupi ID-biti ja sticky biti ning näete, kuidas nende seadistamine toob kaasa koosolekute hõlbustamiseks lisafunktsioone.

1. Avage terminal, kus olete kasutaja linda. Kasutaja loomine on võimalik käsuga useradd linda, lisage parool passwd linda.
2. Looge juurkaustas /data ja alamkataloog /data/sales käsuga mkdir -p /data/sales. Sooritage cd /data/sales, et minna sales katalooge. Sooritage touch linda1 ja touch linda2, et luua kaks tühja faili, mille omanik on linda.
3. Sooritage su — lisa et vahetada praegust kasutajat kasutajaks lisa, kes on samuti grupi sales liige.
4. Sooritage cd /data/sales ja käivitage see kataloogist. ls -l. Te näete kahte faili, mis loodi kasutaja lindaga ja kuuluvad grupile linda. Sooritage rm -f linda*. See kustutab mõlemad failid.
5. Sooritage touch lisa1 ja touch lisa2, et luua kaks faili, mis kuuluvad kasutajale lisa.
6. Sooritage su — kõrgete õiguste saavutamiseks root-i tasemel.
7. Sooritage chmod g+s,o+t /data/sales, et seadistada grupi identifikaatori (GUID) ja sticky bit ühises kataloogis.
8. Sooritage su — linda. Seejärel käivitage touch linda3 ja touch linda4. Nüüd peaksite nägema, et kaks teie loodud faili kuuluvad sales-grupile, mis on katalooge /data/sales omanik.
9. Sooritage rm -rf lisa*. Sticky bit takistab nende failide kustutamist kasutaja linda poolt, kuna te ei ole nende failide omanik. Pange tähele, et kui kasutaja linda on katalooge /data/sales omanik, saab ta need failid ikkagi kustutada!

ACL haldamine (setfacl, getfacl) Linuxis

Isegi kui ülaltoodud laiendatud õigused lisavad kasulikke funktsioone, kuidas Linux tegeleb lubadega, ei võimalda need teil määrata õigusi rohkem kui ühes kasutajas või ühes grupis ühe faili jaoks.

Ligipääsude kontrolli loendid pakuvad seda funktsiooni. Samuti võimaldavad need süsteemiadministraatoritel seadistada vaikeõigusi keerulisel viisil, kus seatud õigused võivad erinevates kataloogides erineda.

ACL-i mõistmine

Kuigi ACL-i alamsüsteem lisab teie serverile suurepäraseid funktsioone, on tal üks puudus: mitte kõik utiliidid ei toeta seda. Seetõttu võite ACL-i seaded kaotada failide kopeerimisel või liigutamisel ning varundustarkvara ei pruugi ACL-i seadete varundamist teostada.

Utiliit tar ei toeta ACL-i. Veenduge, et ACL-i seaded ei kaoks varukoopia loomisel, kasutades star tar-i asemel. star See töötab samade parameetritega nagu tar; see lihtsalt lisab ACL-i seadete toe.

Saate ACL-i varundamiseks kasutada ka getfacl, mida saab taastada käskluse setfacl abil. Varundamiseks kasutage getfacl -R /directory > file.acls. Taastamise korral kasutage faili varukoopiast seadete taastamiseks setfacl --restore=file.acl.

Mõnede tööriistade toetamata jätmine ei tohiks olla probleem. ACL-i loendid rakendatakse sageli kataloogidele struktuurse meetmena, mitte üksikutele failidele.
Seetõttu ei tule neid palju, vaid vaid mõned, mis on rakendatud intelligentsetesse kohtadesse failisüsteemis. Seega on algsete ACL-i loendite taastamine, millega olete töötanud, suhteliselt lihtne, isegi kui teie varundustarkvara neid ei toeta.

Failisüsteemi ettevalmistamine ACL-ide jaoks

Enne ACL-ide kasutamise alustamist võib olla vajalik failisüsteemi ette valmistamine ACL-i toetamiseks. Kuna failisüsteemi metainfot tuleb laiendada, ei pruugi ACL-ide vaikimisi tugi failisüsteemis alati olla. Kui saadate ACL-i loendite seadistamisel sõnumi "operation not supported", võib teie failisüsteem ACL-ide tuge mitte toetada.

Selle parandamiseks peate lisama valiku acl mount faili /etc/fstab, et failisüsteem oleks vaikimisi montaažitud ACL-i toega.

ACL-i seadete muutmine ja vaatamine setfacl ja getfacl abil

ACL-i seadmiseks vajate käsku setfacl. Praeguste ACL seadete vaatamiseks on vajalik getfacl. Käsk ls -l ei näita olemasolevaid ACL-e; see näitab lihtsalt + lubade nimekirja lõpus, mis viitab sellele, et ACL nimekirjad kehtivad failile.

Enne ACL nimekirjade seadistamist on alati kasulik näidata praeguseid ACL seadeid käsu abil getfacl. Allpool näete näidises praeguseid juurdepääsuõigusi nagu on näidatud käsuga ls -l, samuti nagu on näidatud getfacl. Kui vaatate piisavalt tähelepanelikult, näete, et näidatud teave on täpselt sama.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Eemaldatakse absoluutsete tee nimede algne '/'
# fail: dir
# omanik: root
# grupp: root
user::rwx
group::r-x
other::r-x

Käsu täitmise tulemusena getfacl on allpool näha, et õigused on näidatud kolme erineva objekti jaoks: kasutaja, grupp ja teised. Nüüd lisame ACL-i, et anda lugemis- ja käivitamisõigused grupile sales. Käsk selleks on setfacl -m g:sales:rx /dir. Selles käsus -m näitab, et praeguseid ACL seadeid tuleb muuta. Pärast seda g:sales:rx teavitab käsku, et tuleb seadistada lugemis- ja käivitamisõigus (rx) grupile (g) müük. Allpool näete, kuidas grupp välja näeb, samuti väljaande getfacl väljund pärast praeguste ACL seade muutmist.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: eemaldatakse absoluutselt teelt algvad '/'
# fail: dir
# omanik: root
# grupp: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

Nüüd, kui te mõistate, kuidas seadistada grupi ACL-i, on lihtne mõista ACL-i kasutajate ja teiste kasutajate jaoks. Näiteks käsk setfacl -m u:linda:rwx /data annab kasutajale linda õigused kataloogis /data, seda omanikuks tegemata ja praeguseid omaniku määranguid muutuja muutmata.

Meeskond setfacl omab palju võimalusi ja valikuid. Üks valik on eriti oluline, nimelt parameeter -R. Kui see on kasutusel, muudab see valik ACL seadistamise kõigile olemasolevatele failidele ja alamkataloogidele kataloogis, kus te ACL-i seadistate. Soovitatav on seda valikut alati kasutada olemasolevate kataloogide ACL loendite muutmisel.

Töötamine vaikimisi ACL-iga

Üks ACL loendite kasutamise eeliseid on see, et saate anda õigusi mitmele kasutajale või grupile kataloogis. Teine eelis on see, et saate võimaldada pärimist, töötades vaikimisi ACL-iga.

Vaikimisi ACL-i seadistamisel määrate õigused, mis kehtivad kõikidele uutele elementidele, mis luuakse kataloogis. Pidage meeles, et vaikimisi ACL ei muuda olemasolevate failide ja alamakataloogide õigusi. Nende muutmiseks peate lisama ka tavapärase ACL-i!

Oluline on teada. Kui soovite kasutada ACL-i mitme kasutaja või rühma juurdepääsu seadistamiseks ühele ja samale kataloogile, peate ACL-i seadistama kaks korda. Esmalt kasutage setfacl -R -m, et muuta ACL-i praegustele failidele. Seejärel kasutage setfacl -m d:, et tagada kõigi uute elementide kohta, mis ka loodud saavad.

Vaikimisi ACL-i seadmiseks peate lihtsalt lisama valiku d pärast valikut -m (järjekord on oluline!). Seetõttu kasutage setfacl -m d:g:sales:rx /data, kui soovite, et müügigrupp saaks lugeda ja täita kõike, mis kunagi luuakse kataloogis /data.

Vaikimisi ACL-i loendeid kasutades võib olla ka kasulik seadistada ACL teiste jaoks. Üldiselt pole sellel erilist mõtet, kuna saate ka teiste õigusi muuta, kasutades chmod. Siiski, mida te ei saa teha, on chmod, see on määrata õigused, mis tuleks anda teistele kasutajatele iga uue faili jaoks, mis kunagi loodakse. Kui soovite, et teised ei saaks mingeid õigusi loomise osas, mis toimub /data, näiteks kasutage setfacl -m d:o::- /data.

ACL-id ja tavalised õigused ei ole alati hästi integreeritud. Probleemid võivad tekkida, kui olete rakendanud vaikimisi ACL-i kataloogile, kuhu seejärel on lisatud elemente, ja seejärel proovite muuta tavalisi õigusi. Tavaliste õiguste muutmine ei peegeldu ACL-i ülevaates hästi. Probleemide vältimiseks seadke esmalt tavalised õigused ja seejärel seadke vaikimisi ACL (ning proovige seda pärast seda mitte enam muuta).

Näide laiendatud õiguste haldamisest ACL-i kasutades

Selles näites jätkate töötamist kataloogidega /data/account ja /data/sales, mida te varem lõite. Eelmistes näidetes tagasite, et rühmal sales on õigused /data/sales, ja rühmal account on õigused /data/account.

Esiteks veenduge, et rühm account saab kausta /data/sales lugemisõigused ja rühm sales saab kausta /data/account lugemisõigused.

Seejärel seadistate vaikimisi ACL-nimekirjad, et veenduda, et kõikide uute failide õigused on õigesti määratud.

1. Avage terminal.
2. Sooritage setfacl -m g:account:rx /data/sales ja setfacl -m g:sales:rx /data/account.
3. Sooritage getfacl, et veenduda, et juurdepääsuõigused on seatud soovitud viisil.
4. Sooritage setfacl -m d:g:account:rwx,g:sales:rx /data/sales, et seada vaikimisi ACL kaustale sales.
5. Lisage vaikimisi ACL kausta /data/account, kasutades setfacl -m d:g:sales:rwx,g:account:rx /data/account.
6. Veenduge, et ACL seadistused toimivad, lisades uue faili kausta /data/sales. Käivitage touch /data/sales/newfile ja käivitage getfacl /data/sales/newfile praeguste õiguste kontrolimiseks.

Vaikimisi õiguste seadmine umaskiga

Ülaltoodud sisaldab ACL-ide kasutamise juhendamist. Kui te ACL-e ei kasuta, on olemas shelli seade, mis määrab vaikimisi õigused, mida te saate: umask (tagasi mask). Selles jaotises saate teada, kuidas muuta vaikimisi õigusi kasutades umask.

Olete ilmselt märganud, et uue faili loomisel seadistatakse teatud vaikeõigused. Need õigused määratakse seadistuse järgi umask. See keskkonna parameeter kehtib kõigile kasutajatele, kui nad sisselogivad. Parameetris umask kasutatakse numbrilist väärtust, mis lahutatakse maksimaalsetest õigustest, mida failile automaatselt seada saab; maksimaalne seadistus failide jaoks on 666 ja kataloogide jaoks 777.

Kuid sellele reeglile kehtivad mõned erandid. Täieliku ülevaate seadistustest umask leidub allolevas tabelis.

Numbrite korral, mis on kasutusel umask, nagu ka numbrilised argumendid käsule chmod, viitab esimene number kasutaja õigustele, teine number grupi õigustele ja viimane viitab muudele vaikimisi seatud õigustele. Väärtus umask vaikimisi 022 annab 644 kõikidele uutele failidele ja 755 kõikidele uutele kataloogidele, mis teie serveris on loodud.

Täielik ülevaade kõigist numbrilistest väärtustest umask ja nende tulemustest on allolevas tabelis.

Lihtne viis näha, kuidas umask parameeter töötab, on järgmine: alustage vaikimisi faililuba 666 ja lahutage umask, et saada kehtivad õigused. Tehke sama ka katalooge ja nende vaikimisi õigusi 777.

Umask seadistuse muutmiseks on kaks viisi: kõigi kasutajate jaoks ja eraldi kasutajate jaoks. Kui soovite umask'i seada kõigile kasutajatele, peate veenduma, et umask parameeter arvestatakse shelli keskkonna failide käivitamisel, nagu on määratud /etc/profile. Õige lähenemine on luua shelli skript nimega umask.sh kaustas /etc/profile.d ja määrata umask, mida soovite selles skriptis kasutada. Kui seda faili muudetakse umask'i, rakendatakse seda kõigile kasutajatele pärast serverisse sisselogimist.

Alternatiiviks umask'i seadistamisele läbi /etc/profile ja seotud failide, mis rakenduvad kõigile sisselogitud kasutajatele, on umask'i seadete muutmine failis nimega .profile, mis luuakse igas kasutaja kodukataloogis.

Selles failis rakendatud seaded kehtivad ainult üksikule kasutajale; seega on see hea meetod, kui vajate rohkem detaili. Mulle isiklikult meeldib see funktsioon, et muuta juurkasutaja umask vaikeväärtuseks 027, samas kui tavakasutajad töötavad vaikeväärtusega 022.

Töötamine kasutaja laiendatud atribuutidega

See on viimane jaotis õigustest Linuxis.

Kuna töötate õigustega, on alati seos kasutaja või grupi objekti ja nende objektide õigusõigustega failile või kataloogile. Alternatiivne meetod failide kaitsmiseks Linuxi serveris on töötamine atribuutidega.
Atribuudid töötavad sõltumatult sellest, kes faili juurde pääseb.

Nagu ACL-i puhul, võib failiattribuutide jaoks olla vajalik lubada seade mount.

See on valik user_xattr. Kui saate sõnumi „operation not supported” töötades kasutaja laiendatud atribuutidega, veenduge, et seade on seadistatud mount failis /etc/fstab.

Paljusid atribuute on dokumenteeritud. Mõned atribuudid on saadaval, kuid pole veel rakendatud. Ärge kasutage neid; need ei too teile midagi kasu.

Allpool on kõige kasulikumaid atribuute, mida saate rakendada:

A See atribuut tagab, et faili juurde pääsemise aeg ei muutu.
Tavaliselt iga kord, kui fail avatakse, peab faili juurde pääsemise aeg olema salvestatud faili metaandmetesse. See avaldab negatiivset mõju jõudlusele; seetõttu, faili puhul, millele pääseb regulaarselt juurde, on atribuut A seda funktsiooni välja lülitada.

a See atribuut võimaldab faile lisada, kuid mitte eemaldada.

c Kui kasutate failisüsteemi, mis toetab mahu taseme tihendamist, tagab see faili atribuut, et fail tihendatakse, kui tihendamismehhanism esmakordselt sisse lülitatakse.

D See atribuut tagab, et failides tehtud muudatused salvestatakse kettale kohe, mitte ei jää esmalt vahemikku. See on kasulik atribuut oluliste andmebaasifailide puhul, tagades, et need ei kao failide vahemälu ja kõvaketta vahel.

d See atribuut tagab, et faili ei salvestata varukoopiatena, kus kasutatakse dump-teenust.

I See atribuut lubab indekseerimise kaustas, kuhu see on lisatud. See tagab kiirema juurdepääsu failidele primitiivsetes failisüsteemides, nagu Ext3, mis ei kasuta B-tree andmebaasi kiireks juurdepääsuks failidele.

i See atribuut muudab faili muutumatuks. Seetõttu ei saa faili muuta, mis on kasulik failide puhul, mis vajavad täiendavat kaitset.

j See atribuut tagab, et ext3 failisüsteemis kirjutatakse fail esmalt ajaloosse ja seejärel - kõvaketta andmeblokki.

s Kirjutage operatsioonisüsteemisse 0 need blokid, kuhu fail oli salvestatud, pärast faili kustutamist. See tagab, et faili taastamine ei ole võimalik pärast selle kustutamist.

u See atribuut säilitab kustutamise teabe. See võimaldab välja töötada utiliidi, mis töötleb seda teavet kustutatud failide taastamiseks.

Kui soovite atribuute rakendada, võite kasutada käsku chattr. Näiteks kasutage chattr +s somefile, et atribuudid rakendamiseks somefile. Kas soovite atribuudid eemaldada? Siis kasutage chattr -s somefile, ja see eemaldatakse. Kõikide praegu rakendatud atribuutide ülevaate saamiseks kasutage käsku lsattr.

Kokkuvõte

Selles artiklis õppisite, kuidas hallata õigusi. Lugesite kolmest põhioigusest, laiendatud õigustest ja sellest, kuidas rakendada ACL-loendeid failisüsteemis. Samuti õppisite, kuidas kasutada umask parameetrit vaikeõiguste rakendamiseks. Artikli lõpus õppisite, kuidas kasutada kasutaja laiendatud atribuute failisüsteemi täiendava turvalisuse taseme rakendamiseks.

Kui teile see tõlge meeldis, kirjuta palun sellest kommentaarides. See annaks rohkem motivatsiooni teha kasulikke tõlkeid.

Artiklis parandasime mõned trükivead ja grammatilised vead. Mõned mahukad lõigud on jagatud väiksemateks mugavama lugemise jaoks.

Muudatus: «Ainult administreerimisõigustega isik saab katalooge täitmise õigust rakendada» on muudetud: «Ainult katalooge kirjutamisõigustega isik saab täitmise õigust rakendada» — see on täpsem.

Aitäh märkuste eest. berez.

Asendatud:
Kui te ei ole kasutaja omanik, kontrollib kest, kas olete grupi liige, mida nimetatakse ka faili grupiks.

Muudetud:
Kui te ei ole faili omanik, kontrollib kesta, kas olete grupi liige, kellel on sellele failile õigused. Kui olete selle grupi liige, antakse teile juurdepääs failile gruppide jaoks kehtestatud õigustega ning kesta lõpetab kontrollimise.

Aitäh märkuse eest. CryptoPirate

Allikas: habr.com