ნებართვები Linux-ში (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

Სალამი ყველას. ეს არის სტატიის თარგმანი წიგნიდან RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 და EX300.

ბიძგი: ვიმედოვნებ, რომ სტატია სასარგებლო იქნება არა მხოლოდ დამწყებთათვის, არამედ დაეხმარება უფრო გამოცდილ ადმინისტრატორებს ცოდნის გამარტივებაში.

ასე რომ, წავიდეთ.

Linux-ში ფაილებზე წვდომისთვის გამოიყენება ნებართვები. ეს ნებართვები ენიჭება სამ ობიექტს: ფაილის მფლობელს, ჯგუფის მფლობელს და სხვა ობიექტს (ანუ ყველა დანარჩენს). ამ სტატიაში თქვენ შეისწავლით თუ როგორ გამოიყენოთ ნებართვები.

ეს სტატია იწყება ძირითადი ცნებების მიმოხილვით, რასაც მოჰყვება სპეციალური ნებართვების და წვდომის კონტროლის სიების (ACL) განხილვა. ამ სტატიის დასასრულს, ჩვენ ვფარავთ ნაგულისხმევი ნებართვების დაყენებას umask-ის საშუალებით, ასევე მომხმარებლის გაფართოებული ატრიბუტების მართვას.

ფაილის საკუთრების მართვა

ნებართვების განხილვამდე, თქვენ უნდა იცოდეთ ფაილის და დირექტორიის მფლობელის როლი. ფაილების და დირექტორიების მფლობელობა სასიცოცხლოდ მნიშვნელოვანია ნებართვებთან მუშაობისთვის. ამ განყოფილებაში, თქვენ ჯერ გაიგებთ, თუ როგორ შეგიძლიათ ნახოთ მფლობელი. შემდეგ თქვენ შეისწავლით თუ როგორ შეცვალოთ ჯგუფის მფლობელი და მომხმარებელი ფაილებისა და დირექტორიებისთვის.

ნაჩვენებია ფაილის ან დირექტორიას მფლობელი

Linux-ში ყველა ფაილს და ყველა დირექტორიას ჰყავს ორი მფლობელი: მომხმარებელი და ჯგუფის მფლობელი.

ეს მფლობელები დაყენებულია ფაილის ან დირექტორიას შექმნისას. მომხმარებელი, რომელიც ქმნის ფაილს, ხდება ამ ფაილის მფლობელი, ხოლო ძირითადი ჯგუფი, რომელსაც იგივე მომხმარებელი ეკუთვნის, ასევე ხდება ამ ფაილის მფლობელი. იმის დასადგენად, გაქვთ თუ არა, როგორც მომხმარებელს, ფაილზე ან დირექტორიაში წვდომის ნებართვა, ჭურვი ამოწმებს საკუთრებას.

ეს ხდება შემდეგი თანმიმდევრობით:

1. Shell ამოწმებს, ხართ თუ არა იმ ფაილის მფლობელი, რომელზეც გსურთ წვდომა. თუ მფლობელი ხართ, იღებთ ნებართვებს და ჭურვი წყვეტს შემოწმებას.
2. თუ თქვენ არ ხართ ფაილის მფლობელი, ჭურვი შეამოწმებს, ხართ თუ არა ჯგუფის წევრი, რომელსაც აქვს ნებართვები ფაილზე. თუ ამ ჯგუფის წევრი ხართ, თქვენ მიიღებთ წვდომას ფაილზე ჯგუფის მიერ დაყენებული ნებართვებით და გარსი შეწყვეტს შემოწმებას.
3. თუ თქვენ არც მომხმარებელი ხართ და არც ჯგუფის მფლობელი, გეძლევათ სხვა მომხმარებლების უფლებები (სხვა).

ამჟამინდელი მფლობელის დავალებების სანახავად შეგიძლიათ გამოიყენოთ ბრძანება ls -l. ეს ბრძანება აჩვენებს ჯგუფის მომხმარებელს და მფლობელს. ქვემოთ შეგიძლიათ იხილოთ მფლობელის პარამეტრები დირექტორიების /home დირექტორიაში.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

ბრძანების გამოყენებით ls თქვენ შეგიძლიათ აჩვენოთ ფაილების მფლობელი მოცემულ დირექტორიაში. ზოგჯერ შეიძლება სასარგებლო იყოს სისტემის ყველა ფაილის სიის მიღება, რომელსაც აქვს მოცემული მომხმარებელი ან ჯგუფი, როგორც მფლობელი. ამისთვის შეგიძლიათ გამოიყენოთ მოვძებნოთ. არგუმენტი იპოვე-მომხმარებელი შეიძლება გამოყენებულ იქნას ამ მიზნით. მაგალითად, შემდეგი ბრძანება ჩამოთვლის ყველა ფაილს, რომელიც ეკუთვნის მომხმარებლის ლინდას:

find / -user linda

თქვენ ასევე შეგიძლიათ გამოიყენოთ მოვძებნოთ მოძებნეთ ფაილები, რომლებსაც აქვთ გარკვეული ჯგუფი, როგორც მათი მფლობელი.

მაგალითად, შემდეგი ბრძანება ეძებს ჯგუფს კუთვნილ ყველა ფაილს მომხმარებლები:

find / -group users

მფლობელის შეცვლა

შესაბამისი ნებართვების გამოსაყენებლად, პირველი რაც გასათვალისწინებელია არის საკუთრება. ამისათვის არის ბრძანება ჩაინი. ამ ბრძანების სინტაქსი ადვილად გასაგებია:

chown кто что

მაგალითად, შემდეგი ბრძანება ცვლის /home/account დირექტორიას მფლობელს მომხმარებლის ლინდაზე:

chown linda /home/account

გუნდი ჩაინი აქვს რამდენიმე ვარიანტი, რომელთაგან ერთი განსაკუთრებით სასარგებლოა: -R. თქვენ შეგიძლიათ გამოიცნოთ რას აკეთებს, რადგან ეს ვარიანტი ხელმისაწვდომია მრავალი სხვა ბრძანებისთვისაც. ეს საშუალებას გაძლევთ რეკურსიულად დააყენოთ მფლობელი, რაც საშუალებას გაძლევთ დააყენოთ მიმდინარე დირექტორიას მფლობელი და ყველაფერი ქვემოთ. შემდეგი ბრძანება ცვლის /home დირექტორიას და მის ქვემოთ არსებულ ყველაფერს ლინდა მომხმარებლის მფლობელობას:

ახლა მფლობელები ასე გამოიყურებიან:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Მოდი გავაკეთოთ:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

ახლა მომხმარებლის ლიზა გახდა ანგარიშის დირექტორიას მფლობელი:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

შეცვალეთ ჯგუფის მფლობელი

ჯგუფის მფლობელობის შეცვლის ორი გზა არსებობს. ამის გაკეთება შეგიძლიათ გამოყენებით ჩაინი, მაგრამ არის სპეციალური ბრძანება სახელად ჩგრპრომ აკეთებს საქმეს. თუ გსურთ გამოიყენოთ ბრძანება ჩაინი, გამოყენება . ან : ჯგუფის სახელის წინ.

შემდეგი ბრძანება ცვლის /home/account ჯგუფის ნებისმიერ მფლობელს ანგარიშის ჯგუფში:

chown .account /home/account

შეგიძლიათ გამოიყენოთ ჩაინი მომხმარებლის ან/და ჯგუფის მფლობელის შეცვლა რამდენიმე გზით. Აი ზოგიერთი მაგალითი:

• chown lisa myfile1 აყენებს მომხმარებლის ლიზას myfile1-ის მფლობელად.
• chown lisa.sales myfile აყენებს მომხმარებლის lisa-ს myfile ფაილის მფლობელად და ასევე აყენებს გაყიდვების ჯგუფს იმავე ფაილის მფლობელად.
• chown lisa:sales myfile იგივე რაც წინა ბრძანება.
• chown .sales myfile აყენებს გაყიდვების ჯგუფს myfile-ის მფლობელად მომხმარებლის მფლობელის შეცვლის გარეშე.
• chown :sales myfile იგივე რაც წინა ბრძანება.

შეგიძლიათ გამოიყენოთ ბრძანება ჩგრპშეცვალოს ჯგუფის მფლობელი. განვიხილოთ შემდეგი მაგალითი, სადაც შეგიძლიათ გამოიყენოთ ჩგრპ დააყენეთ ანგარიშის დირექტორიას მფლობელი გაყიდვების ჯგუფში:

chgrp .sales /home/account

როგორც ამას ჩაინი, შეგიძლიათ გამოიყენოთ ვარიანტი -R с ჩგრპ, ასევე რეკურსიულად შეცვალეთ ჯგუფის მფლობელი.

ნაგულისხმევი მფლობელის გაგება

თქვენ შეიძლება შეამჩნიეთ, რომ როდესაც მომხმარებელი ქმნის ფაილს, გამოიყენება ნაგულისხმევი მფლობელობა.
მომხმარებელი, რომელიც ქმნის ფაილს, ავტომატურად ხდება ამ ფაილის მფლობელი, ხოლო მომხმარებლის ძირითადი ჯგუფი ავტომატურად ხდება ამ ფაილის მფლობელი. როგორც წესი, ეს არის ჯგუფი, რომელიც ჩამოთვლილია /etc/passwd ფაილში, როგორც მომხმარებლის პირველადი ჯგუფი. თუმცა, თუ მომხმარებელი ერთზე მეტი ჯგუფის წევრია, მომხმარებელს შეუძლია შეცვალოს ეფექტური პირველადი ჯგუფი.

მიმდინარე ეფექტური პირველადი ჯგუფის საჩვენებლად მომხმარებელს შეუძლია გამოიყენოს ბრძანება ჯგუფები:

[root@server1 ~]# groups lisa
lisa : lisa account sales

თუ ლინდას ამჟამინდელ მომხმარებელს სურს შეცვალოს ეფექტური პირველადი ჯგუფი, ის გამოიყენებს ბრძანებას newgrpმოჰყვება ჯგუფის სახელი, რომელსაც სურს დაადგინოს ახალ ეფექტურ პირველად ჯგუფად. ბრძანების გამოყენების შემდეგ newgrp პირველადი ჯგუფი აქტიური იქნება მანამ, სანამ მომხმარებელი არ შეასრულებს ბრძანებას გასვლა ან არ გამოხვიდე.

ქვემოთ მოცემულია, თუ როგორ იყენებს მომხმარებლის ლინდა ამ ბრძანებას, გაყიდვებით, როგორც ძირითადი ჯგუფი:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

ეფექტური პირველადი ჯგუფის შეცვლის შემდეგ, მომხმარებლის მიერ შექმნილ ყველა ახალ ფაილს ექნება ეს ჯგუფი, როგორც ჯგუფის მფლობელი. თავდაპირველ პირველადი ჯგუფის პარამეტრზე დასაბრუნებლად გამოიყენეთ გასვლა.

რომ შეძლოს ბრძანების გამოყენება newgrp, მომხმარებელი უნდა იყოს იმ ჯგუფის წევრი, რომლის გამოყენება სურს ძირითად ჯგუფად. გარდა ამისა, ჯგუფის პაროლი შეიძლება გამოყენებულ იქნას ჯგუფისთვის ბრძანების გამოყენებით გაპასვდ. თუ მომხმარებელი იყენებს ბრძანებას newgrpმაგრამ არ არის სამიზნე ჯგუფის წევრი, ჭურვი ითხოვს ჯგუფის პაროლს. ჯგუფის სწორი პაროლის შეყვანის შემდეგ შეიქმნება ახალი ეფექტური პირველადი ჯგუფი.

ფუნდამენტური უფლებების მართვა

Linux-ის ნებართვის სისტემა გამოიგონეს 1970-იან წლებში. ვინაიდან იმ წლებში გამოთვლითი საჭიროებები შეზღუდული იყო, ძირითადი ნებართვების სისტემა საკმაოდ შეზღუდული იყო. ეს ნებართვების სისტემა იყენებს სამ ნებართვას, რომელიც შეიძლება გამოყენებულ იქნას ფაილებსა და დირექტორიაში. ამ განყოფილებაში თქვენ შეისწავლით თუ როგორ გამოიყენოთ და შეცვალოთ ეს ნებართვები.

წაკითხვის, ჩაწერის და შესრულების ნებართვების გაგება

სამი ძირითადი ნებართვა საშუალებას გაძლევთ წაიკითხოთ, დაწეროთ და შეასრულოთ ფაილები. ამ ნებართვების ეფექტი განსხვავდება ფაილების ან დირექტორიების გამოყენებისას. ფაილის წაკითხვის ნებართვა გაძლევთ უფლებას გახსნათ ფაილი წასაკითხად. აქედან გამომდინარე, შეგიძლიათ წაიკითხოთ მისი შინაარსი, მაგრამ ეს ნიშნავს, რომ თქვენს კომპიუტერს შეუძლია გახსნას ფაილი, რომ რაღაც გააკეთოს.

პროგრამის ფაილს, რომელსაც სჭირდება ბიბლიოთეკაზე წვდომა, უნდა ჰქონდეს, მაგალითად, წაკითხვის წვდომა ამ ბიბლიოთეკაზე. აქედან გამომდინარეობს, რომ წაკითხვის ნებართვა არის ყველაზე ძირითადი ნებართვა, რომელიც გჭირდებათ ფაილებთან მუშაობისთვის.

დირექტორიაში გამოყენებისას, წაკითხვა საშუალებას გაძლევთ აჩვენოთ ამ დირექტორიაში შიგთავსი. უნდა იცოდეთ, რომ ეს ნებართვა არ გაძლევთ დირექტორიაში არსებული ფაილების წაკითხვის საშუალებას. Linux-ის ნებართვის სისტემამ არ იცის მემკვიდრეობა და ფაილის წაკითხვის ერთადერთი გზა არის ამ ფაილზე წაკითხვის ნებართვების გამოყენება.

როგორც თქვენ ალბათ მიხვდით, ჩაწერის ნებართვა, თუ გამოიყენება ფაილზე, საშუალებას გაძლევთ ჩაწეროთ ფაილი. სხვა სიტყვებით რომ ვთქვათ, ის საშუალებას გაძლევთ შეცვალოთ არსებული ფაილების შინაარსი. თუმცა, ის არ გაძლევთ საშუალებას შექმნათ ან წაშალოთ ახალი ფაილები ან შეცვალოთ ფაილის ნებართვები. ამისათვის თქვენ უნდა მისცეთ ჩაწერის ნებართვა დირექტორიაში, სადაც გსურთ ფაილის შექმნა. დირექტორიაში, ეს ნებართვა ასევე საშუალებას გაძლევთ შექმნათ და წაშალოთ ახალი ქვედირექტორიები.

შესრულების ნებართვა არის ის, რაც გჭირდებათ ფაილის შესასრულებლად. ის არასოდეს დაინსტალირდება ნაგულისხმევად, რაც Linux-ს თითქმის მთლიანად იცავს ვირუსებს. მხოლოდ მას, ვისაც აქვს დირექტორიაში ჩაწერის ნებართვა, შეუძლია გამოიყენოს შესრულების ნებართვა.

ქვემოთ მოცემულია ძირითადი ნებართვების გამოყენების შეჯამება:

chmod-ის გამოყენება

ბრძანება გამოიყენება ნებართვების მართვისთვის. chmod... გამოყენება chmod შეგიძლიათ დააყენოთ ნებართვები მომხმარებლისთვის (მომხმარებლისთვის), ჯგუფებისთვის (ჯგუფისთვის) და სხვებისთვის (სხვა). თქვენ შეგიძლიათ გამოიყენოთ ეს ბრძანება ორ რეჟიმში: ფარდობითი რეჟიმი და აბსოლუტური რეჟიმი. აბსოლუტურ რეჟიმში, სამი ციფრი გამოიყენება ძირითადი ნებართვების დასაყენებლად.

ნებართვების დაყენებისას გამოთვალეთ თქვენთვის საჭირო მნიშვნელობა. თუ გსურთ დააყენოთ წაკითხვა/ჩაწერა/შესრულება მომხმარებლისთვის, წაკითხვა/შესრულება ჯგუფისთვის და წაკითხვა/შესრულება სხვებისთვის /somefile-ში, გამოიყენეთ შემდეგი ბრძანება chmod:

chmod 755 /somefile

როცა იყენებთ chmod ამ გზით, ყველა მიმდინარე ნებართვა შეიცვლება თქვენ მიერ დაყენებული ნებართვებით.

თუ გსურთ შეცვალოთ ნებართვები მიმდინარე ნებართვებთან შედარებით, შეგიძლიათ გამოიყენოთ chmod შედარებით რეჟიმში. გამოყენება chmod შედარებით რეჟიმში მუშაობთ სამ ინდიკატორთან, რათა მიუთითოთ რისი გაკეთება გსურთ:

1. ჯერ მიუთითეთ ვისთვის გსურთ ნებართვების შეცვლა. ამისათვის თქვენ შეგიძლიათ აირჩიოთ მომხმარებლის შორის (u), ჯგუფი (g) და სხვა (o).
2. შემდეგ იყენებთ განცხადებას, რომ დაამატოთ ან ამოიღოთ ნებართვები მიმდინარე რეჟიმიდან, ან დააყენოთ ისინი აბსოლუტურად.
3. ბოლოს თქვენ იყენებთ r, w и xმიუთითოთ რომელი ნებართვების დაყენება გსურთ.

ნებართვების შედარებით რეჟიმში შეცვლისას, შეგიძლიათ გამოტოვოთ "to" ნაწილი, რომ დაამატოთ ან წაშალოთ ნებართვა ყველა ობიექტისთვის. მაგალითად, ეს ბრძანება ამატებს შესრულების ნებართვას ყველა მომხმარებლისთვის:

chmod +x somefile

შედარებით რეჟიმში მუშაობისას ასევე შეგიძლიათ გამოიყენოთ უფრო რთული ბრძანებები. მაგალითად, ეს ბრძანება ამატებს ჩაწერის ნებართვას ჯგუფში და ხსნის წაკითხვის ნებართვას სხვებისთვის:

chmod g+w,o-r somefile

გამოყენებისას chmod -R o+rx /მონაცემები თქვენ დააყენეთ შესრულების ნებართვა ყველა დირექტორიისთვის, ასევე ფაილებისთვის /data დირექტორიაში. იმისათვის, რომ დააყენოთ შესრულების ნებართვა მხოლოდ დირექტორიებისთვის და არა ფაილებისთვის, გამოიყენეთ chmod -R o+ rX /მონაცემები.

დიდი X უზრუნველყოფს, რომ ფაილები არ მიიღებენ შესრულების ნებართვას, თუ ფაილს უკვე არ აქვს მითითებული შესრულების ნებართვა ზოგიერთი ობიექტისთვის. ეს X ხდის უფრო ჭკვიან გზას ნებართვების შესრულებისთვის; ეს თავიდან აიცილებს ამ ნებართვის დაყენებას ფაილებზე, სადაც ეს არ არის საჭირო.

გაფართოებული უფლებები

ძირითადი ნებართვების გარდა, რომლის შესახებაც ახლახან წაიკითხეთ, Linux-ს ასევე აქვს გაფართოებული ნებართვების ნაკრები. ეს არ არის ნაგულისხმევად დაყენებული ნებართვები, მაგრამ ზოგჯერ ისინი სასარგებლო დამატებას იძლევა. ამ განყოფილებაში თქვენ შეიტყობთ რა არის ისინი და როგორ დააყენოთ ისინი.

SUID, GUID და Sticky Bit Extended ნებართვების გაგება

არსებობს სამი მოწინავე ნებართვა. პირველი მათგანი არის მომხმარებლის იდენტიფიკატორის (SUID) დაყენების ნებართვა. ზოგიერთ განსაკუთრებულ შემთხვევაში, შეგიძლიათ გამოიყენოთ ეს ნებართვა შესრულებად ფაილებზე. ნაგულისხმევად, მომხმარებელი, რომელიც აწარმოებს შესრულებადს, აწარმოებს ამ ფაილს საკუთარი ნებართვით.

ჩვეულებრივი მომხმარებლებისთვის, ეს ჩვეულებრივ ნიშნავს, რომ პროგრამის გამოყენება შეზღუდულია. თუმცა, ზოგიერთ შემთხვევაში, მომხმარებელს სჭირდება სპეციალური ნებართვები, მხოლოდ კონკრეტული დავალების შესასრულებლად.

განვიხილოთ, მაგალითად, სიტუაცია, როდესაც მომხმარებელმა უნდა შეცვალოს პაროლი. ამისათვის მომხმარებელმა უნდა დაწეროს ახალი პაროლი /etc/shadow ფაილში. თუმცა, ეს ფაილი არ არის დაწერილი არა-root მომხმარებლების მიერ:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID ნებართვა გთავაზობთ ამ პრობლემის გადაწყვეტას. /usr/bin/passwd უტილიტა ნაგულისხმევად იყენებს ამ ნებართვას. ეს ნიშნავს, რომ პაროლის შეცვლისას მომხმარებელი დროებით ხდება root, რაც საშუალებას აძლევს მას ჩაწეროს /etc/shadow ფაილში. თქვენ შეგიძლიათ ნახოთ SUID ნებართვა ls -l როგორც s ისეთ მდგომარეობაში, სადაც ჩვეულებრივ ელით ნახვას x მორგებული ნებართვებისთვის:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID ნებართვა შეიძლება გამოიყურებოდეს სასარგებლო (და ზოგიერთ შემთხვევაში ეს არის), მაგრამ ამავე დროს ის პოტენციურად საშიშია. თუ სწორად არ არის გამოყენებული, შეგიძლიათ შემთხვევით გასცეთ root ნებართვები. ამიტომ, გირჩევთ გამოიყენოთ იგი მხოლოდ მაქსიმალური სიფრთხილით.

ადმინისტრატორთა უმეტესობას არასოდეს დასჭირდება მისი გამოყენება; თქვენ ნახავთ მას მხოლოდ ზოგიერთ ფაილში, სადაც ოპერაციულმა სისტემამ უნდა დააყენოს ის ნაგულისხმევად.

მეორე სპეციალური ნებართვა არის ჯგუფის იდენტიფიკატორი (SGID). ამ ნებართვას აქვს ორი ეფექტი. როდესაც გამოიყენება შესრულებად ფაილზე, ის აძლევს მომხმარებელს, რომელიც ახორციელებს ფაილს, ფაილის ჯგუფის მფლობელის ნებართვებს. ასე რომ, SGID-ს შეუძლია გააკეთოს მეტ-ნაკლებად იგივე, რაც SUID. თუმცა, SGID პრაქტიკულად არ გამოიყენება ამ მიზნით.

როგორც SUID ნებართვის შემთხვევაში, SGID გამოიყენება ზოგიერთ სისტემურ ფაილზე, როგორც ნაგულისხმევი პარამეტრი.

დირექტორიაში გამოყენებისას, SGID შეიძლება სასარგებლო იყოს, რადგან მისი გამოყენება შეგიძლიათ ჯგუფის ნაგულისხმევი მფლობელის დასაყენებლად ამ დირექტორიაში შექმნილი ფაილებისა და ქვედირექტორიებისთვის. ნაგულისხმევად, როდესაც მომხმარებელი ქმნის ფაილს, მათი ეფექტური ძირითადი ჯგუფი დაყენებულია ამ ფაილის ჯგუფის მფლობელად.

ეს ყოველთვის არ არის ძალიან გამოსადეგი, მით უმეტეს, რომ Red Hat/CentOS მომხმარებლებს აქვთ მათი ძირითადი ჯგუფი დაყენებული ჯგუფზე იგივე სახელით, როგორც მომხმარებელი, და რომლის ერთადერთი წევრი მომხმარებელია. ამრიგად, ნაგულისხმევად, ფაილები, რომლებსაც მომხმარებელი ქმნის, გაზიარებული იქნება დიდი რაოდენობით.

წარმოიდგინეთ სიტუაცია, როდესაც მომხმარებლები ლინდა და ლორი მუშაობენ ბუღალტერიაში და არიან ჯგუფის წევრები ანგარიში. ნაგულისხმევად, ეს მომხმარებლები არიან კერძო ჯგუფის წევრები, რომელთა ერთადერთი წევრი ისინი არიან. თუმცა, ორივე მომხმარებელი არის ანგარიშის ჯგუფის წევრი, მაგრამ ასევე, როგორც მეორადი ჯგუფის პარამეტრი.

ნაგულისხმევი სიტუაცია არის ის, რომ როდესაც რომელიმე მომხმარებელი ქმნის ფაილს, პირველადი ჯგუფი ხდება მფლობელი. ამიტომ, ნაგულისხმევად, ლინდას არ შეუძლია წვდომა ლორის მიერ შექმნილ ფაილებზე და პირიქით. თუმცა, თუ თქვენ შექმნით საზიარო ჯგუფის დირექტორიას (ვთქვათ /groups/account) და დარწმუნდით, რომ SGID ნებართვა გამოიყენება ამ დირექტორიაზე და რომ ჯგუფის ანგარიში დაყენებულია ჯგუფის მფლობელად ამ დირექტორიაში, ამ დირექტორიაში შექმნილი ყველა ფაილი და ყველა მისი ქვედირექტორიებიდან ასევე მიიღეთ ჯგუფის ანგარიში, როგორც ჯგუფის მფლობელი ნაგულისხმევად.

ამ მიზეზით, SGID ნებართვა არის ძალიან სასარგებლო ნებართვა საჯარო ჯგუფის დირექტორიებზე დასაყენებლად.

SGID ნებართვა ნაჩვენებია გამომავალში ls -l როგორც s იმ პოზიციაზე, სადაც ჩვეულებრივ იპოვით ჯგუფის შესრულების ნებართვას:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

სპეციალური ნებართვებიდან მესამე არის წებოვანი ბიტი. ეს ნებართვა სასარგებლოა ფაილების შემთხვევითი წაშლისაგან დასაცავად ისეთ გარემოში, სადაც მრავალ მომხმარებელს აქვს ჩაწერის წვდომა იმავე დირექტორიაში. თუ გამოიყენება წებოვანი ბიტი, მომხმარებელს შეუძლია წაშალოს ფაილი მხოლოდ იმ შემთხვევაში, თუ ის არის ფაილის ან დირექტორიას მფლობელი, რომელიც შეიცავს ფაილს. ამ მიზეზით, იგი გამოიყენება როგორც ნაგულისხმევი ნებართვა /tmp დირექტორიაში და შეიძლება სასარგებლო იყოს საჯარო ჯგუფის დირექტორიებისთვისაც.

წებოვანი ბიტის გარეშე, თუ მომხმარებელს შეუძლია ფაილების შექმნა დირექტორიაში, მას ასევე შეუძლია წაშალოს ფაილები ამ დირექტორიადან. საჯარო ჯგუფის გარემოში, ეს შეიძლება იყოს შემაშფოთებელი. წარმოიდგინეთ მომხმარებლები ლინდა და ლორი, რომლებსაც ორივეს აქვთ ჩაწერის უფლება /data/account დირექტორიაში და იღებენ ამ ნებართვებს ანგარიშის ჯგუფის წევრებით. ამიტომ, ლინდას შეუძლია წაშალოს ლორის მიერ შექმნილი ფაილები და პირიქით.

წებოვანი ბიტის გამოყენებისას მომხმარებელს შეუძლია ფაილების წაშლა მხოლოდ იმ შემთხვევაში, თუ ერთ-ერთი შემდეგი პირობა შეესაბამება სიმართლეს:

• მომხმარებელი არის ფაილის მფლობელი;
• მომხმარებელი არის დირექტორიას მფლობელი, სადაც ფაილი მდებარეობს.

გამოყენებისას ls -l, შეგიძლიათ იხილოთ წებოვანი ბიტი როგორც t იმ პოზიციაზე, სადაც ჩვეულებრივ ხედავთ შესრულების ნებართვას სხვებისთვის:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

გაფართოებული უფლებების გამოყენება

SUID, SGID და წებოვანი ბიტის გამოსაყენებლად ასევე შეგიძლიათ გამოიყენოთ chmod. SUID-ს აქვს რიცხვითი მნიშვნელობა 4, SGID-ს აქვს რიცხვითი მნიშვნელობა 2, ხოლო წებოვან ბიტს აქვს რიცხვითი მნიშვნელობა 1.

თუ გსურთ გამოიყენოთ ეს ნებართვები, თქვენ უნდა დაამატოთ ოთხნიშნა არგუმენტი chmod, რომლის პირველი ციფრი მიუთითებს სპეციალურ ნებართვებზე. შემდეგი ხაზი, მაგალითად, დაამატებს SGID ნებართვას დირექტორიაში და დააყენებს rwx მომხმარებლისთვის და rx ჯგუფისთვის და სხვებისთვის:

chmod 2755 /somedir

ეს საკმაოდ არაპრაქტიკულია, თუ თქვენ გჭირდებათ ამჟამინდელი ნებართვების ნახვა, რომლებიც დაყენებულია მუშაობის დაწყებამდე chmod აბსოლუტურ რეჟიმში. (თუ არადა ნებართვების გადაწერის რისკი გემუქრებათ.) ამიტომ გირჩევთ გაუშვათ შედარებით რეჟიმში, თუ რომელიმე სპეციალური ნებართვის გამოყენება გჭირდებათ:

1. SUID გამოყენებისთვის chmod u+s.
2. SGID გამოყენებისთვის ჩმოდ გ+ს.
3. წებოვანი ნაჭრების გამოყენებისთვის ჩმოდ +ტ, რასაც მოჰყვება ფაილის ან დირექტორიას სახელი, რომლისთვისაც გსურთ ნებართვების დაყენება.

ცხრილი აჯამებს ყველაფერს, რაც უნდა იცოდეთ სპეციალური ნებართვების მართვის შესახებ.

სპეციალური უფლებებით მუშაობის მაგალითი

ამ მაგალითში, თქვენ იყენებთ სპეციალურ ნებართვებს, რათა გაუადვილოთ ჯგუფის წევრებს ფაილების გაზიარება ჯგუფის საზიარო დირექტორიაში. თქვენ ანიჭებთ ID ბიტს კომპლექტის ჯგუფის ID-ს, ისევე როგორც წებოვან ბიტს და ხედავთ, რომ მათი დაყენების შემდეგ ემატება ფუნქციები, რათა გაუადვილდეს ჯგუფის წევრებს ერთად მუშაობა.

1. გახსენით ტერმინალი, სადაც თქვენ ხართ ლინდას მომხმარებელი. თქვენ შეგიძლიათ შექმნათ მომხმარებელი ბრძანებით მომხმარებელი დაამატე ლინდა, პაროლის დამატება passwd ლინდა.
2. შექმენით /data დირექტორია root-ში და /data/sales ქვეცნობარი ბრძანებით mkdir -p /მონაცემები/გაყიდვები. სრული cd /მონაცემები/გაყიდვებიგაყიდვების დირექტორიაში გადასასვლელად. სრული შეეხეთ ლინდა1 и შეეხეთ ლინდა2ლინდას კუთვნილი ორი ცარიელი ფაილის შესაქმნელად.
3. შეასრულე სუ-ლიზა მიმდინარე მომხმარებლის გადართვა მომხმარებლის lisa-ზე, რომელიც ასევე არის გაყიდვების ჯგუფის წევრი.
4. შეასრულე cd /მონაცემები/გაყიდვები და ამ დირექტორიადან შეასრულეთ ls -l. თქვენ ნახავთ ორ ფაილს, რომლებიც შექმნილია linda მომხმარებლის მიერ და მიეკუთვნება linda ჯგუფს. სრული rm-f ლინდა*. ეს წაშლის ორივე ფაილს.
5. შეასრულე შეეხეთ ლიზას 1 и შეეხეთ ლიზას 2შექმნათ ორი ფაილი, რომლებიც ეკუთვნის მომხმარებლის lisa-ს.
6. შეასრულე სუ- რათა აამაღლოთ თქვენი პრივილეგიები root-ზე.
7. შეასრულე chmod g+s,o+t /მონაცემები/გაყიდვებიჯგუფის იდენტიფიკატორის (GUID) ბიტის დაყენება, ისევე როგორც წებოვანი ბიტი საერთო ჯგუფის დირექტორიაში.
8. შეასრულე სუ-ლინდა. შემდეგ გააკეთე შეეხეთ ლინდა3 и შეეხეთ ლინდა4. ახლა თქვენ უნდა ნახოთ, რომ თქვენ მიერ შექმნილი ორი ფაილი ეკუთვნის გაყიდვების ჯგუფს, რომელიც არის /data/sales დირექტორიას ჯგუფის მფლობელი.
9. შეასრულე rm-rf lisa*. წებოვანი ბიტი ხელს უშლის ამ ფაილების წაშლას linda მომხმარებლის სახელით, რადგან თქვენ არ ხართ ამ ფაილების მფლობელი. გაითვალისწინეთ, რომ თუ ლინდას მომხმარებელი არის /data/sales დირექტორიას მფლობელი, მათ შეუძლიათ ამ ფაილების წაშლა მაინც!

ACL მენეჯმენტი (setfacl, getfacl) Linux-ში

მიუხედავად იმისა, რომ ზემოთ განხილული გაფართოებული ნებართვები სასარგებლო ფუნქციონირებას მატებს Linux-ის ნებართვების გატარებას, ის არ გაძლევთ უფლებას გასცეთ ნებართვები ერთზე მეტ მომხმარებელს ან ჯგუფს იმავე ფაილში.

წვდომის კონტროლის სიები გთავაზობთ ამ ფუნქციას. გარდა ამისა, ისინი ადმინისტრატორებს საშუალებას აძლევს დააყენონ ნაგულისხმევი ნებართვები კომპლექსურად, სადაც მითითებული ნებართვები შეიძლება განსხვავდებოდეს დირექტორიადან დირექტორიაში.

ACL-ების გაგება

მიუხედავად იმისა, რომ ACL ქვესისტემა ამატებს თქვენს სერვერს დიდ ფუნქციონირებას, მას აქვს ერთი მინუსი: მას ყველა კომუნალური პროგრამა არ უჭერს მხარს. აქედან გამომდინარე, თქვენ შეიძლება დაკარგოთ თქვენი ACL პარამეტრები ფაილების კოპირების ან გადატანისას, ხოლო სარეზერვო პროგრამამ შეიძლება ვერ შეძლოს თქვენი ACL პარამეტრების სარეზერვო ასლის შექმნა.

tar უტილიტა არ უჭერს მხარს ACL-ებს. იმისათვის, რომ დარწმუნდეთ, რომ ACL პარამეტრები არ დაიკარგება სარეზერვო ასლის შექმნისას, გამოიყენეთ ვარსკვლავი ტარის ნაცვლად. ვარსკვლავი მუშაობს იგივე ვარიანტებით, როგორც tar; ის უბრალოდ ამატებს ACL პარამეტრების მხარდაჭერას.

ასევე შეგიძლიათ ACL-ების სარეზერვო ასლის შექმნა გეტფაკლი, რომლის აღდგენა შესაძლებელია setfacl ბრძანების გამოყენებით. სარეზერვო ასლის შესაქმნელად გამოიყენეთ getfacl -R /directory > file.acls. სარეზერვო ფაილიდან პარამეტრების აღსადგენად გამოიყენეთ setfacl --restore=file.acl.

ზოგიერთი ხელსაწყოს მხარდაჭერის ნაკლებობა არ უნდა იყოს პრობლემა. ACL ხშირად გამოიყენება დირექტორიებზე, როგორც სტრუქტურული საზომი და არა ცალკეულ ფაილებზე.
აქედან გამომდინარე, ბევრი მათგანი არ იქნება, მაგრამ მხოლოდ რამდენიმე იქნება გამოყენებული ფაილური სისტემის ჭკვიან ადგილებში. ამიტომ, ორიგინალური ACL-ების აღდგენა, რომლებთანაც მუშაობდით, შედარებით მარტივია, მაშინაც კი, თუ თქვენი სარეზერვო პროგრამა მათ არ უჭერს მხარს.

ფაილური სისტემის მომზადება ACL-ებისთვის

სანამ ACL-ებთან მუშაობას დაიწყებთ, შესაძლოა დაგჭირდეთ თქვენი ფაილური სისტემის მომზადება ACL-ების მხარდასაჭერად. იმის გამო, რომ ფაილური სისტემის მეტამონაცემების გაფართოება საჭიროა, ფაილურ სისტემაში ყოველთვის არ არის ნაგულისხმევი მხარდაჭერა ACL-ებისთვის. თუ თქვენ მიიღებთ შეტყობინებას "ოპერაცია არ არის მხარდაჭერილი" ფაილური სისტემისთვის ACL-ების დაყენებისას, თქვენს ფაილურ სისტემას შეიძლება არ ჰქონდეს ACL-ების მხარდაჭერა.

ამის გამოსასწორებლად თქვენ უნდა დაამატოთ ვარიანტი acl სამონტაჟო /etc/fstab-ში ისე, რომ ფაილური სისტემა ნაგულისხმევად დამონტაჟდეს ACL მხარდაჭერით.

ACL პარამეტრების შეცვლა და ნახვა setfacl-ით და getfacl-ით

ACL-ის დასაყენებლად გჭირდებათ ბრძანება სეტფაკლი. ACL-ის მიმდინარე პარამეტრების სანახავად გჭირდებათ გეტფაკლი. გუნდი ls -l არ აჩვენებს არსებულ ACL-ებს; ის უბრალოდ აჩვენებს + ნებართვების სიის შემდეგ, რაც მიუთითებს იმაზე, რომ ACL ასევე ვრცელდება ფაილზე.

ACL-ების დაყენებამდე ყოველთვის კარგი იდეაა მიმდინარე ACL პარამეტრების ჩვენება გეტფაკლი. ქვემოთ მოცემულ მაგალითში შეგიძლიათ იხილოთ მიმდინარე ნებართვები, როგორც ეს ნაჩვენებია ls -lდა ასევე როგორც ნაჩვენებია გეტფაკლი. თუ კარგად დააკვირდებით, ნახავთ, რომ ნაჩვენები ინფორმაცია ზუსტად იგივეა.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

ბრძანების შესრულების შედეგად გეტფაკლი ქვემოთ ხედავთ, რომ ნებართვები ნაჩვენებია სამი განსხვავებული ობიექტისთვის: მომხმარებელი, ჯგუფი და სხვა. ახლა მოდით დავამატოთ ACL, რომ გაყიდვების ჯგუფსაც მივცეთ წაკითხვისა და შესრულების ნებართვები. ბრძანება ამისათვის setfacl -mg:sales:rx /dir. ამ გუნდში -m მიუთითებს, რომ მიმდინარე ACL პარამეტრები უნდა შეიცვალოს. Ამის შემდეგ g:sales:rx ეუბნება ბრძანებას, დააყენოს წაკითხვა-შესრულება ACL (rx) ჯგუფისთვის (g) გაყიდვების. ქვემოთ შეგიძლიათ იხილოთ როგორ გამოიყურება ბრძანება, ასევე getfacl ბრძანების გამომავალი ACL მიმდინარე პარამეტრების შეცვლის შემდეგ.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

ახლა, როცა გესმით, როგორ დააყენოთ ჯგუფური ACL, მარტივია ACL-ების გაგება მომხმარებლებისთვის და სხვა მომხმარებლებისთვის. მაგალითად, ბრძანება setfacl -mu:linda:rwx /data აძლევს ნებართვებს მომხმარებლის ლინდას /data დირექტორიაში, მას მფლობელად გახდომის ან მიმდინარე მფლობელის დავალების შეცვლის გარეშე.

გუნდი სეტფაკლი აქვს მრავალი ფუნქცია და ვარიანტი. განსაკუთრებით მნიშვნელოვანია ერთი ვარიანტი, პარამეტრი -R. თუ გამოიყენება, ოფცია აყალიბებს ACL-ს ყველა ფაილსა და ქვედირექტორიაზე, რომელიც ამჟამად არსებობს დირექტორიაში, სადაც თქვენ დააყენეთ ACL. რეკომენდირებულია ყოველთვის გამოიყენოთ ეს პარამეტრი არსებული დირექტორიებისთვის ACL-ების შეცვლისას.

ნაგულისხმევი ACL-ებით მუშაობა

ACL-ების გამოყენების ერთ-ერთი უპირატესობა ის არის, რომ თქვენ შეგიძლიათ მიანიჭოთ ნებართვები რამდენიმე მომხმარებელს ან ჯგუფს დირექტორიაში. კიდევ ერთი უპირატესობა ის არის, რომ თქვენ შეგიძლიათ ჩართოთ მემკვიდრეობა ნაგულისხმევი ACL-ებით მუშაობით.

ნაგულისხმევი ACL-ის დაყენებით, თქვენ განსაზღვრავთ ნებართვებს, რომლებიც დაყენდება დირექტორიაში შექმნილი ყველა ახალი ელემენტისთვის. გაითვალისწინეთ, რომ ნაგულისხმევი ACL არ ცვლის ნებართვებს არსებულ ფაილებსა და ქვედირექტორიებზე. მათ შესაცვლელად, თქვენ ასევე უნდა დაამატოთ ნორმალური ACL!

ეს მნიშვნელოვანია იცოდეთ. თუ გსურთ გამოიყენოთ ACL მრავალი მომხმარებლის ან ჯგუფის კონფიგურაციისთვის ერთსა და იმავე დირექტორიაში წვდომისთვის, თქვენ უნდა დააყენოთ ACL ორჯერ. პირველი გამოყენება setfacl -R -mACL-ის შესაცვლელად მიმდინარე ფაილებისთვის. შემდეგ გამოიყენეთ setfacl-md:იზრუნოს ყველა ახალ ელემენტზე, რომელიც ასევე შეიქმნება.

ნაგულისხმევი ACL-ის დასაყენებლად თქვენ უბრალოდ უნდა დაამატოთ ოფცია d ვარიანტის შემდეგ -m (შეკვეთა მნიშვნელოვანია!). ამიტომ გამოიყენეთ setfacl -md:g:sales:rx /dataთუ გსურთ, რომ ჯგუფურმა გაყიდვებმა წაიკითხონ და შეასრულონ ყველაფერი, რაც ოდესმე შეიქმნა /data დირექტორიაში.

ნაგულისხმევი ACL-ების გამოყენებისას ასევე შეიძლება სასარგებლო იყოს ACL-ების დაყენება სხვებისთვის. ამას, როგორც წესი, დიდი აზრი არ აქვს, რადგან თქვენ ასევე შეგიძლიათ შეცვალოთ ნებართვები სხვებისთვის, რომლებიც იყენებენ chmod. თუმცა, რისი გაკეთებაც არ შეგიძლია chmod, არის უფლებების მითითება, რომელიც უნდა მიენიჭოს სხვა მომხმარებლებს ყოველი ახალი ფაილისთვის, რომელიც ოდესმე შექმნილა. თუ გსურთ ხელი შეუშალოთ სხვებს, მიიღონ რაიმე ნებართვა /data-ში შექმნილ ყველაფერზე, მაგალითად, გამოიყენეთ setfacl -md:o::- /data.

ACL და ნორმალური ნებართვები ყოველთვის კარგად არ არის ინტეგრირებული. პრობლემები შეიძლება წარმოიშვას, თუ თქვენ მიმართავთ ნაგულისხმევ ACL-ს დირექტორიაში, შემდეგ ერთეულებს დაემატება ამ დირექტორიაში და შემდეგ ცდილობთ შეცვალოთ ნორმალური ნებართვები. ცვლილებები, რომლებიც ეხება ჩვეულებრივ ნებართვებს, კარგად არ აისახება ACL მიმოხილვაში. პრობლემების თავიდან ასაცილებლად, ჯერ დააყენეთ ნორმალური ნებართვები, შემდეგ დააყენეთ ნაგულისხმევი ACL-ები (და შეეცადეთ აღარ შეცვალოთ ისინი ამის შემდეგ).

ამაღლებული უფლებების მართვის მაგალითი ACL-ების გამოყენებით

ამ მაგალითში თქვენ გააგრძელებთ ადრე შექმნილ /data/account და /data/sales დირექტორიებს. წინა მაგალითებში თქვენ დარწმუნდით, რომ გაყიდვების ჯგუფს აქვს ნებართვები /data/sales-ზე და ანგარიშის ჯგუფს აქვს ნებართვები /data/account-ზე.

პირველ რიგში, დარწმუნდით, რომ ანგარიშის ჯგუფი იღებს წაკითხვის ნებართვას /data/sales დირექტორიაში და გაყიდვების ჯგუფი იღებს წაკითხვის ნებართვას /data/account დირექტორიაში.

შემდეგ დააყენეთ ნაგულისხმევი ACL-ები, რათა დარწმუნდეთ, რომ ყველა ახალ ფაილს აქვს სწორი ნებართვები დაყენებული ყველა ახალი ელემენტისთვის.

1. გახსენით ტერმინალი.
2. შეასრულე setfacl -mg:account:rx /data/sales и setfacl -mg:sales:rx /data/account.
3. შეასრულე გეტფაკლირომ დარწმუნდეთ, რომ ნებართვები დაყენებული იყო ისე, როგორც თქვენ გსურდათ.
4. შეასრულე setfacl -md:g:account:rwx,g:sales:rx /data/salesგაყიდვების დირექტორიაში ნაგულისხმევი ACL-ის დასაყენებლად.
5. დაამატეთ ნაგულისხმევი ACL /data/account დირექტორიას გამოყენებით setfacl -md:g:sales:rwx,g:account:rx /data/account.
6. შეამოწმეთ, რომ ACL პარამეტრები მოქმედებს ახალი ფაილის დამატებით /data/sales-ში. სრული შეეხეთ /data/sales/newfile და შეასრულოს getfacl /data/sales/newfile მიმდინარე ნებართვების შესამოწმებლად.

ნაგულისხმევი ნებართვების დაყენება umask-ით

ზემოთ, თქვენ ისწავლეთ ნაგულისხმევი ACL-ებით მუშაობა. თუ არ იყენებთ ACL-ს, არის გარსის ვარიანტი, რომელიც განსაზღვრავს ნაგულისხმევ ნებართვებს, რომლებსაც მიიღებთ: უმასკი (საპირისპირო ნიღაბი). ამ განყოფილებაში შეისწავლით თუ როგორ შეცვალოთ ნაგულისხმევი ნებართვები უმასკი.

თქვენ შეიძლება შეამჩნიეთ, რომ ახალი ფაილის შექმნისას დაყენებულია ნაგულისხმევი ნებართვები. ეს ნებართვები განისაზღვრება პარამეტრით უმასკი. ჭურვის ეს პარამეტრი ვრცელდება ყველა მომხმარებლისთვის შესვლისას. პარამეტრში უმასკი გამოიყენება რიცხვითი მნიშვნელობა, რომელიც გამოკლებულია ფაილისთვის ავტომატურად დაყენებული მაქსიმალური ნებართვებისგან; ფაილების მაქსიმალური პარამეტრია 666, ხოლო დირექტორიებისთვის არის 777.

თუმცა, ზოგიერთი გამონაკლისი ვრცელდება ამ წესზე. თქვენ შეგიძლიათ იპოვოთ პარამეტრების სრული მიმოხილვა უმასკი ქვემოთ მოცემულ ცხრილში.

გამოყენებული რიცხვებიდან უმასკი, როგორც ბრძანების რიცხვითი არგუმენტების შემთხვევაში chmod, პირველი ციფრი მიუთითებს მომხმარებლის ნებართვებზე, მეორე ციფრი მიუთითებს ჯგუფის ნებართვებზე და ბოლო მიუთითებს ნაგულისხმევად დაყენებულ ნებართვებზე სხვებისთვის. მნიშვნელობა უმასკი ნაგულისხმევი 022 იძლევა 644-ს ყველა ახალ ფაილზე და 755-ს თქვენს სერვერზე შექმნილი ყველა ახალი დირექტორიისთვის.

ყველა რიცხვითი მნიშვნელობის სრული მიმოხილვა უმასკი და მათი შედეგები ქვემოთ მოცემულ ცხრილში.

მარტივი გზა იმის დასანახად, თუ როგორ მუშაობს umask პარამეტრი, შემდეგია: დაიწყეთ ფაილის ნაგულისხმევი ნებართვებით დაყენებული 666-ზე და გამოაკლეთ umask ეფექტური ნებართვების მისაღებად. იგივე გააკეთე დირექტორიაში და მისი ნაგულისხმევი ნებართვებისთვის 777.

umask პარამეტრის შეცვლის ორი გზა არსებობს: ყველა მომხმარებლისთვის და ინდივიდუალური მომხმარებლისთვის. თუ გსურთ დააყენოთ umask ყველა მომხმარებლისთვის, უნდა დარწმუნდეთ, რომ umask პარამეტრი გათვალისწინებულია shell გარემოს ფაილების გაშვებისას, როგორც მითითებულია /etc/profile-ში. სწორი მიდგომაა შექმნათ shell სკრიპტი სახელწოდებით umask.sh /etc/profile.d დირექტორიაში და მიუთითოთ umask, რომლის გამოყენებაც გსურთ ამ shell სკრიპტში. თუ umask შეიცვალა ამ ფაილში, ის გამოიყენება ყველა მომხმარებლისთვის სერვერზე შესვლის შემდეგ.

umask-ის დაყენების ალტერნატივა /etc/profile და მასთან დაკავშირებული ფაილების საშუალებით, სადაც ის ვრცელდება ყველა სისტემაში შესული მომხმარებლისთვის, არის umask პარამეტრების შეცვლა ფაილში სახელად .profile, რომელიც იქმნება თითოეული მომხმარებლის მთავარ დირექტორიაში.

ამ ფაილში გამოყენებული პარამეტრები ეხება მხოლოდ ინდივიდუალურ მომხმარებელს; ამიტომ ეს კარგი მეთოდია, თუ მეტი დეტალი გჭირდებათ. მე პირადად მომწონს ეს ფუნქცია root მომხმარებლისთვის ნაგულისხმევი umask-ის შეცვლა 027-ზე, მაშინ როცა ნორმალური მომხმარებლები მუშაობენ 022-ის ნაგულისხმევი umask-ით.

გაფართოებული მომხმარებლის ატრიბუტებთან მუშაობა

ეს არის Linux-ის ნებართვების ბოლო განყოფილება.

ნებართვებთან მუშაობისას ყოველთვის არის კავშირი მომხმარებლის ან ჯგუფის ობიექტსა და ნებართვებს შორის, რომლებიც მომხმარებლის ან ჯგუფის ობიექტებს აქვთ ფაილზე ან დირექტორიაში. Linux სერვერზე ფაილების დაცვის ალტერნატიული მეთოდია ატრიბუტებთან მუშაობა.
ატრიბუტები ასრულებენ თავიანთ საქმეს, მიუხედავად იმისა, რომ მომხმარებელი წვდება ფაილს.

ისევე როგორც ACL-ების შემთხვევაში, ფაილის ატრიბუტებს შეიძლება დასჭირდეთ ამ ვარიანტის შეტანა დაამაუნტეთ.

ეს არის ვარიანტი user_xattr. თუ მომხმარებლის გაფართოებულ ატრიბუტებთან მუშაობისას მიიღებთ შეტყობინებას "ოპერაცია არ არის მხარდაჭერილი", დარწმუნდით, რომ დააყენეთ პარამეტრი დაამაუნტეთ /etc/fstab-ში.

ბევრი ატრიბუტი დოკუმენტირებულია. ზოგიერთი ატრიბუტი ხელმისაწვდომია, მაგრამ ჯერ არ არის დანერგილი. არ გამოიყენოთ ისინი; ისინი არაფერს მოგიტანს.

ქვემოთ მოცემულია ყველაზე სასარგებლო ატრიბუტები, რომელთა გამოყენება შეგიძლიათ:

A ეს ატრიბუტი უზრუნველყოფს, რომ ფაილში წვდომის დრო არ შეიცვლება.
როგორც წესი, ყოველ ჯერზე ფაილის გახსნისას, ფაილის წვდომის დრო უნდა ჩაიწეროს ფაილის მეტამონაცემებში. ეს უარყოფითად მოქმედებს შესრულებაზე; ასე რომ, ფაილებისთვის, რომლებზეც რეგულარულად არის წვდომა, ატრიბუტი A შეიძლება გამოყენებულ იქნას ამ ფუნქციის გამორთვისთვის.

a ეს ატრიბუტი გაძლევთ საშუალებას დაამატოთ, მაგრამ არა წაშალოთ ფაილი.

c თუ იყენებთ ფაილურ სისტემას, რომელიც მხარს უჭერს მოცულობის დონის შეკუმშვას, ფაილის ეს ატრიბუტი უზრუნველყოფს ფაილის შეკუმშვას პირველივე შეკუმშვის მექანიზმის ჩართვისას.

D ეს ატრიბუტი უზრუნველყოფს, რომ ფაილებში ცვლილებები დაუყოვნებლივ ჩაიწეროს დისკზე, ვიდრე ჯერ ქეშირებული იყოს. ეს არის სასარგებლო ატრიბუტი მონაცემთა ბაზის მნიშვნელოვან ფაილებზე, რათა დარწმუნდეთ, რომ ისინი არ დაიკარგება ფაილის ქეშსა და მყარ დისკს შორის.

d ეს ატრიბუტი უზრუნველყოფს, რომ ფაილი არ შეინახება სარეზერვო ასლებში, სადაც გამოიყენება dump utility.

I ეს ატრიბუტი საშუალებას აძლევს ინდექსირებას დირექტორიაში, რომელშიც ის ჩართულია. ეს უზრუნველყოფს ფაილების უფრო სწრაფ წვდომას პრიმიტიული ფაილური სისტემებისთვის, როგორიცაა Ext3, რომლებიც არ იყენებენ B-tree მონაცემთა ბაზას ფაილების სწრაფი წვდომისთვის.

i ეს ატრიბუტი ხდის ფაილს უცვლელად. ამიტომ, ფაილში ცვლილებების შეტანა არ შეიძლება, რაც სასარგებლოა ფაილებისთვის, რომლებსაც დამატებითი დაცვა სჭირდებათ.

j ეს ატრიბუტი უზრუნველყოფს, რომ ext3 ფაილურ სისტემაზე ფაილი ჯერ ჟურნალში ჩაიწერება, შემდეგ კი მყარ დისკზე მონაცემთა ბლოკებში.

s ფაილის წაშლის შემდეგ გადაწერეთ ბლოკები, რომლებშიც ფაილი იყო შენახული 0-ებში. ეს უზრუნველყოფს, რომ ფაილის აღდგენა შეუძლებელია მისი წაშლის შემდეგ.

u ეს ატრიბუტი ინახავს ინფორმაციას წაშლის შესახებ. ეს საშუალებას გაძლევთ განავითაროთ პროგრამა, რომელიც მუშაობს ამ ინფორმაციაზე წაშლილი ფაილების გადასარჩენად.

თუ გსურთ გამოიყენოთ ატრიბუტები, შეგიძლიათ გამოიყენოთ ბრძანება ჩატრ. მაგალითად, გამოიყენეთ chattr +s somefileზოგიერთი ფაილისთვის ატრიბუტების გამოყენება. გჭირდებათ ატრიბუტის ამოღება? შემდეგ გამოიყენეთ chattr -s somefileდა მოიხსნება. ყველა ატრიბუტის მიმოხილვის მისაღებად, რომლებიც ამჟამად გამოიყენება, გამოიყენეთ ბრძანება lsattr.

რეზიუმე

ამ სტატიაში ისწავლეთ ნებართვებით მუშაობა. თქვენ წაიკითხეთ სამი ძირითადი ნებართვა, გაფართოებული ნებართვა და როგორ გამოიყენოთ ACL ფაილურ სისტემაზე. თქვენ ასევე ისწავლეთ როგორ გამოიყენოთ umask ვარიანტი ნაგულისხმევი ნებართვების გამოსაყენებლად. ამ სტატიის ბოლოს, თქვენ ისწავლეთ, როგორ გამოიყენოთ მომხმარებლის მიერ გაფართოებული ატრიბუტები ფაილური სისტემის უსაფრთხოების დამატებითი ფენის გამოსაყენებლად.

თუ მოგეწონათ ეს თარგმანი, გთხოვთ დაწეროთ ამის შესახებ კომენტარებში. მეტი მოტივაცია იქნება სასარგებლო თარგმანების გასაკეთებლად.

გაასწორა სტატიაში წერითი და გრამატიკული შეცდომები. შემცირდა ზოგიერთი მოცულობითი აბზაცები უფრო მცირედ უკეთესი წაკითხვისთვის.

ნაცვლად "მხოლოდ ვინმეს, ვისაც აქვს ადმინისტრაციული უფლებები დირექტორიაზე, შეუძლია გამოიყენოს შესრულების ნებართვა." დაფიქსირდა "მხოლოდ ვინმეს, ვისაც აქვს დირექტორიაში ჩაწერის ნებართვა, შეუძლია გამოიყენოს შესრულების ნებართვა.", რაც უფრო სწორი იქნება.

მადლობა კომენტარებისთვის ბერეზი.

ჩანაცვლებულია:
თუ თქვენ არ ხართ მომხმარებლის მფლობელი, ჭურვი შეამოწმებს, ხართ თუ არა ჯგუფის წევრი, რომელიც ასევე ცნობილია როგორც ფაილის ჯგუფი.

Ზე:
თუ თქვენ არ ხართ ფაილის მფლობელი, ჭურვი შეამოწმებს, ხართ თუ არა ჯგუფის წევრი, რომელსაც აქვს ნებართვები ფაილზე. თუ ამ ჯგუფის წევრი ხართ, თქვენ მიიღებთ წვდომას ფაილზე ჯგუფის მიერ დაყენებული ნებართვებით და გარსი შეწყვეტს შემოწმებას.

გმადლობთ თქვენი კომენტარისთვის კრიპტოპირატი

წყარო: www.habr.com