Linux의 권한(chown, chmod, SUID, GUID, 고정 비트, ACL, umask)

안녕하세요. 이것은 RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 및 EX300 책의 기사를 번역한 것입니다.

나 자신에게서 : 이 기사가 초보자에게 유용할 뿐만 아니라 숙련된 관리자가 지식을 간소화하는 데 도움이 되기를 바랍니다.

자, 가자.

Linux에서 파일에 액세스하려면 권한이 사용됩니다. 이러한 권한은 파일 소유자, 그룹 소유자 및 다른 개체(즉, 다른 모든 사람)의 세 개체에 할당됩니다. 이 문서에서는 권한을 적용하는 방법을 알아봅니다.

이 문서는 기본 개념에 대한 개요로 시작하여 특수 권한 및 ACL(액세스 제어 목록)에 대해 설명합니다. 이 기사의 끝에서 umask를 통한 기본 권한 설정과 확장된 사용자 속성 관리에 대해 다룹니다.

파일 소유권 관리

권한을 논의하기 전에 파일 및 디렉토리 소유자의 역할을 알고 있어야 합니다. 파일 및 디렉토리의 소유권은 권한을 처리하는 데 매우 중요합니다. 이 섹션에서는 먼저 소유자를 볼 수 있는 방법을 배웁니다. 그런 다음 파일 및 디렉터리에 대한 그룹 소유자 및 사용자를 변경하는 방법을 배웁니다.

파일 또는 디렉토리의 소유자 표시

Linux에서 모든 파일과 모든 디렉터리에는 사용자와 그룹 소유자라는 두 명의 소유자가 있습니다.

이러한 소유자는 파일 또는 디렉토리가 생성될 때 설정됩니다. 파일을 생성한 사용자가 해당 파일의 소유자가 되며, 동일한 사용자가 속한 주 그룹도 해당 파일의 소유자가 됩니다. 사용자로서 파일이나 디렉토리에 액세스할 수 있는 권한이 있는지 확인하기 위해 셸은 소유권을 확인합니다.

이는 다음 순서로 발생합니다.

1. 셸은 사용자가 액세스하려는 파일의 소유자인지 확인합니다. 소유자인 경우 권한을 얻고 셸이 확인을 중지합니다.
2. 파일 소유자가 아닌 경우 셸은 파일에 대한 권한이 있는 그룹의 구성원인지 확인합니다. 이 그룹의 구성원인 경우 그룹이 설정한 권한으로 파일에 액세스하고 셸에서 확인을 중지합니다.
3. 사용자나 그룹의 소유자가 아닌 경우 다른 사용자(기타)의 권한이 부여됩니다.

현재 소유자 할당을 보려면 다음 명령을 사용할 수 있습니다. ls -l. 이 명령은 그룹의 사용자와 소유자를 보여줍니다. 아래에서 /home 디렉토리의 디렉토리에 대한 소유자 설정을 볼 수 있습니다.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

명령으로 ls 주어진 디렉토리에 있는 파일의 소유자를 표시할 수 있습니다. 경우에 따라 지정된 사용자 또는 그룹을 소유자로 하는 시스템의 모든 파일 목록을 가져오는 것이 유용할 수 있습니다. 이를 위해 다음을 사용할 수 있습니다. 발견. 논쟁 사용자 찾기 이 목적으로 사용할 수 있습니다. 예를 들어, 다음 명령은 사용자 linda가 소유한 모든 파일을 나열합니다.

find / -user linda

당신은 또한 사용할 수 있습니다 발견 특정 그룹이 소유자인 파일을 검색합니다.

예를 들어 다음 명령은 그룹에 속하는 모든 파일을 검색합니다. 사용자:

find / -group users

소유자 변경

적절한 권한을 적용하려면 먼저 소유권을 고려해야 합니다. 이것에 대한 명령이 있습니다 chown하지. 이 명령의 구문은 이해하기 쉽습니다.

chown кто что

예를 들어 다음 명령은 /home/account 디렉토리의 소유자를 사용자 linda로 변경합니다.

chown linda /home/account

팀 chown하지 여러 옵션이 있으며 그 중 하나가 특히 유용합니다. -R. 이 옵션은 다른 많은 명령에도 사용할 수 있기 때문에 수행하는 작업을 추측할 수 있습니다. 이렇게 하면 소유자를 재귀적으로 설정할 수 있으므로 현재 디렉터리와 그 아래의 모든 항목의 소유자를 설정할 수 있습니다. 다음 명령은 /home 디렉토리와 그 아래의 모든 소유권을 linda 사용자로 변경합니다.

이제 소유자는 다음과 같습니다.

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

하자:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

이제 사용자 lisa가 계정 디렉토리의 소유자가 되었습니다.

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

그룹 소유자 변경

그룹 소유권을 변경하는 방법에는 두 가지가 있습니다. 다음을 사용하여 이 작업을 수행할 수 있습니다. chown하지, 그러나 이름이 지정된 특수 명령이 있습니다. 을 chgrp그것은 일을합니다. 명령을 사용하려면 chown하지, 사용 . 또는 : 그룹 이름 앞에

다음 명령은 /home/account 그룹의 모든 소유자를 계정 그룹으로 변경합니다.

chown .account /home/account

당신이 사용할 수있는 chown하지 여러 가지 방법으로 사용자 및/또는 그룹의 소유자를 변경합니다. 여기 몇 가지 예가 있어요.

• 촌 리사 myfile1 사용자 lisa를 myfile1의 소유자로 설정합니다.
• chown lisa.sales 마이파일 사용자 lisa를 myfile 파일의 소유자로 설정하고 또한 sales 그룹을 동일한 파일의 소유자로 설정합니다.
• 촌 리사:세일즈 마이파일 이전 명령과 동일합니다.
• chown .sales 마이파일 사용자의 소유자를 변경하지 않고 영업 그룹을 myfile의 소유자로 설정합니다.
• chown : 판매 myfile 이전 명령과 동일합니다.

당신은 명령을 사용할 수 있습니다 을 chgrp그룹의 소유자를 변경합니다. 사용할 수 있는 다음 예를 고려하십시오. 을 chgrp 계정 디렉토리의 소유자를 영업 그룹으로 설정합니다.

chgrp .sales /home/account

의 경우와 마찬가지로 chown하지, 당신은 옵션을 사용할 수 있습니다 -R с 을 chgrp, 뿐만 아니라 그룹의 소유자를 재귀적으로 변경합니다.

기본 소유자 이해

사용자가 파일을 만들 때 기본 소유권이 적용된다는 사실을 눈치채셨을 것입니다.
파일을 만든 사용자는 자동으로 해당 파일의 소유자가 되고 해당 사용자의 기본 그룹은 자동으로 해당 파일의 소유자가 됩니다. 이것은 일반적으로 사용자의 기본 그룹으로 /etc/passwd 파일에 나열된 그룹입니다. 그러나 사용자가 둘 이상의 그룹의 구성원인 경우 사용자는 유효한 기본 그룹을 변경할 수 있습니다.

현재 유효한 기본 그룹을 표시하기 위해 사용자는 다음 명령을 사용할 수 있습니다. 그룹:

[root@server1 ~]# groups lisa
lisa : lisa account sales

현재 linda 사용자가 유효한 기본 그룹을 변경하려는 경우 다음 명령을 사용합니다. newgrp새로운 유효 기본 그룹으로 설정하려는 그룹의 이름이 이어집니다. 명령을 사용한 후 newgrp 기본 그룹은 사용자가 명령을 입력할 때까지 활성화됩니다. 출구 또는 로그아웃하지 마십시오.

다음은 사용자 linda가 기본 그룹으로 sales를 사용하여 이 명령을 사용하는 방법을 보여줍니다.

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

유효한 기본 그룹을 변경한 후 사용자가 만든 모든 새 파일은 해당 그룹을 그룹 소유자로 갖게 됩니다. 원래 기본 그룹 설정으로 되돌리려면 다음을 사용하십시오. 출구.

명령어를 사용하려면 newgrp, 사용자는 기본 그룹으로 사용하려는 그룹의 구성원이어야 합니다. 또한 다음 명령을 사용하여 그룹 암호를 그룹에 사용할 수 있습니다. gpasswd. 사용자가 명령을 사용하는 경우 newgrp그러나 대상 그룹의 구성원이 아닌 경우 쉘은 그룹의 암호를 묻는 메시지를 표시합니다. 올바른 그룹 암호를 입력하면 새로운 유효 기본 그룹이 설정됩니다.

기본권리관리

Linux 권한 시스템은 1970년대에 발명되었습니다. 당시에는 컴퓨팅 요구 사항이 제한적이었기 때문에 기본 권한 시스템이 상당히 제한되었습니다. 이 권한 시스템은 파일 및 디렉터리에 적용할 수 있는 세 가지 권한을 사용합니다. 이 섹션에서는 이러한 권한을 사용하고 변경하는 방법을 배웁니다.

읽기, 쓰기 및 실행 권한 이해

세 가지 기본 권한을 사용하면 파일을 읽고 쓰고 실행할 수 있습니다. 이러한 권한의 효과는 파일이나 디렉토리에 적용될 때 다릅니다. 파일의 경우 읽기 권한은 읽기용으로 파일을 열 수 있는 권한을 부여합니다. 따라서 내용을 읽을 수 있지만 컴퓨터가 파일을 열어서 작업을 수행할 수 있음을 의미합니다.

예를 들어 라이브러리에 액세스해야 하는 프로그램 파일에는 해당 라이브러리에 대한 읽기 액세스 권한이 있어야 합니다. 따라서 읽기 권한은 파일 작업에 필요한 가장 기본적인 권한입니다.

디렉토리에 적용하면 읽기를 통해 해당 디렉토리의 내용을 표시할 수 있습니다. 이 권한으로는 디렉토리의 파일을 읽을 수 없습니다. Linux 권한 시스템은 상속을 알지 못하며 파일을 읽는 유일한 방법은 해당 파일에 대한 읽기 권한을 사용하는 것입니다.

짐작할 수 있듯이 쓰기 권한이 파일에 적용되면 파일 쓰기가 허용됩니다. 즉, 기존 파일의 내용을 변경할 수 있습니다. 그러나 새 파일을 생성 또는 삭제하거나 파일 권한을 변경할 수는 없습니다. 이렇게 하려면 파일을 만들려는 디렉터리에 대한 쓰기 권한을 부여해야 합니다. 디렉터리에서 이 권한을 사용하면 새 하위 디렉터리를 만들고 삭제할 수도 있습니다.

실행 권한은 파일을 실행하는 데 필요한 것입니다. 기본적으로 설치되지 않으므로 Linux는 바이러스에 거의 완전히 면역됩니다. 디렉토리에 대한 쓰기 권한이 있는 사람만 실행 권한을 적용할 수 있습니다.

다음은 기본 권한 사용을 요약한 것입니다.

chmod 사용

이 명령은 권한을 관리하는 데 사용됩니다. chmod를... 사용 chmod를 사용자(user), 그룹(group) 및 기타(other)에 대한 권한을 설정할 수 있습니다. 상대 모드와 절대 모드의 두 가지 모드에서 이 명령을 사용할 수 있습니다. 절대 모드에서는 세 자리 숫자를 사용하여 기본 권한을 설정합니다.

권한을 설정할 때 필요한 값을 계산하십시오. /somefile에서 사용자에 대한 읽기/쓰기/실행, 그룹에 대한 읽기/실행 및 다른 사용자에 대한 읽기/실행을 설정하려면 다음 명령을 사용합니다. chmod를:

chmod 755 /somefile

사용할 때 chmod를 이러한 방식으로 모든 현재 권한이 설정한 권한으로 대체됩니다.

현재 권한과 관련된 권한을 변경하려면 다음을 사용할 수 있습니다. chmod를 상대 모드에서. 사용 chmod를 상대 모드에서는 세 가지 표시기로 작업하여 수행하려는 작업을 나타냅니다.

1. 먼저 권한을 변경할 사람을 지정합니다. 이렇게 하려면 사용자(u), 그룹 (g) 다른 사람 (o).
2. 그런 다음 문을 사용하여 현재 모드에서 권한을 추가 또는 제거하거나 절대적으로 설정합니다.
3. 결국 당신은 사용 r, w и x설정하려는 권한을 지정합니다.

상대 모드에서 권한을 변경할 때 "to" 부분을 건너뛰어 모든 개체에 대한 권한을 추가하거나 제거할 수 있습니다. 예를 들어 이 명령은 모든 사용자에 대한 실행 권한을 추가합니다.

chmod +x somefile

상대 모드에서 작업할 때 더 복잡한 명령을 사용할 수도 있습니다. 예를 들어 이 명령은 그룹에 쓰기 권한을 추가하고 다른 그룹에 대한 읽기 권한을 제거합니다.

chmod g+w,o-r somefile

를 사용할 때 chmod -R o+rx /데이터 모든 디렉토리와 /data 디렉토리의 파일에 대한 실행 권한을 설정합니다. 파일이 아닌 디렉토리에 대해서만 실행 권한을 설정하려면 다음을 사용하십시오. chmod -R o+ rX /데이터.

대문자 X는 파일이 이미 일부 개체에 대한 실행 권한을 설정하지 않는 한 파일이 실행 권한을 얻지 않도록 합니다. 이것은 X가 실행 권한을 처리하는 더 현명한 방법이 되게 합니다. 이렇게 하면 필요하지 않은 파일에 이 권한을 설정하는 것을 피할 수 있습니다.

확장된 권리

방금 읽은 기본 권한 외에도 Linux에는 고급 권한 세트가 있습니다. 기본적으로 설정하는 권한은 아니지만 유용한 추가 기능을 제공하는 경우가 있습니다. 이 섹션에서는 그것들이 무엇이고 어떻게 설정하는지 배우게 될 것입니다.

SUID, GUID 및 고정 비트 확장 권한 이해

세 가지 고급 권한이 있습니다. 첫 번째는 사용자 식별자(SUID)를 설정할 수 있는 권한입니다. 특별한 경우에는 이 권한을 실행 파일에 적용할 수 있습니다. 기본적으로 실행 파일을 실행하는 사용자는 자신의 권한으로 해당 파일을 실행합니다.

일반 사용자의 경우 이는 일반적으로 프로그램 사용이 제한됨을 의미합니다. 그러나 어떤 경우에는 특정 작업을 수행하기 위해서만 사용자에게 특별한 권한이 필요합니다.

예를 들어 사용자가 암호를 변경해야 하는 상황을 생각해 보십시오. 이렇게 하려면 사용자가 새 암호를 /etc/shadow 파일에 기록해야 합니다. 그러나 이 파일은 루트가 아닌 사용자가 쓸 수 없습니다.

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID 권한은 이 문제에 대한 해결책을 제공합니다. /usr/bin/passwd 유틸리티는 기본적으로 이 권한을 사용합니다. 이것은 암호를 변경할 때 사용자가 일시적으로 루트가 되어 /etc/shadow 파일에 쓸 수 있음을 의미합니다. 다음을 사용하여 SUID 권한을 볼 수 있습니다. ls -l как s 일반적으로 볼 것으로 예상되는 위치에서 x 사용자 정의 권한:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID 권한은 유용해 보일 수 있지만(경우에 따라 유용함) 동시에 잠재적으로 위험할 수 있습니다. 올바르게 적용되지 않으면 실수로 루트 권한을 포기할 수 있습니다. 따라서 최대한 주의해서 사용하는 것이 좋습니다.

대부분의 관리자는 사용할 필요가 없습니다. 운영 체제가 기본적으로 설정해야 하는 일부 파일에서만 볼 수 있습니다.

두 번째 특수 권한은 SGID(그룹 식별자)입니다. 이 권한에는 두 가지 효과가 있습니다. 실행 파일에 적용하면 파일을 실행하는 사용자에게 파일 그룹 소유자의 권한을 부여합니다. 따라서 SGID는 SUID와 거의 동일한 작업을 수행할 수 있습니다. 그러나 SGID는 실제로 이러한 목적으로 사용되지 않습니다.

SUID 권한과 마찬가지로 SGID는 일부 시스템 파일에 기본 설정으로 적용됩니다.

SGID를 디렉토리에 적용하면 SGID를 사용하여 해당 디렉토리에서 생성된 파일 및 하위 디렉토리의 기본 그룹 소유자를 설정할 수 있으므로 유용할 수 있습니다. 기본적으로 사용자가 파일을 만들면 유효한 기본 그룹이 해당 파일의 그룹 소유자로 설정됩니다.

이는 특히 Red Hat/CentOS 사용자가 기본 그룹을 사용자와 동일한 이름을 가진 그룹으로 설정하고 사용자가 유일한 구성원이기 때문에 항상 유용한 것은 아닙니다. 따라서 기본적으로 사용자가 생성한 파일은 대량으로 공유됩니다.

사용자 linda와 lori가 회계에서 일하고 그룹의 구성원인 상황을 상상해 보십시오. 계정. 기본적으로 이러한 사용자는 자신이 유일한 구성원인 비공개 그룹의 구성원입니다. 그러나 두 사용자 모두 계정 그룹의 구성원이지만 보조 그룹 매개변수이기도 합니다.

기본 상황은 이러한 사용자가 파일을 만들 때 기본 그룹이 소유자가 되는 것입니다. 따라서 기본적으로 linda는 lori가 만든 파일에 액세스할 수 없으며 그 반대도 마찬가지입니다. 그러나 공유 그룹 디렉터리(예: /groups/account)를 만들고 SGID 권한이 해당 디렉터리에 적용되고 그룹 계정이 해당 디렉터리의 그룹 소유자로 설정되어 있는지 확인하면 해당 디렉터리에 생성된 모든 파일과 모든 또한 기본적으로 그룹 계정을 그룹 소유자로 가져옵니다.

이러한 이유로 SGID 권한은 공용 그룹 디렉토리에 설정할 수 있는 매우 유용한 권한입니다.

출력에 표시된 SGID 권한 ls -l как s 일반적으로 그룹을 실행할 수 있는 권한을 찾을 수 있는 위치에서:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

특수 권한의 세 번째는 고정 비트입니다. 이 권한은 여러 사용자가 동일한 디렉터리에 대한 쓰기 액세스 권한을 가진 환경에서 실수로 파일을 삭제하지 않도록 보호하는 데 유용합니다. 고정 비트가 사용되는 경우 사용자는 파일이 포함된 파일 또는 디렉터리의 사용자 소유자인 경우에만 파일을 삭제할 수 있습니다. 이러한 이유로 /tmp 디렉토리에 대한 기본 권한으로 사용되며 공용 그룹 디렉토리에도 유용할 수 있습니다.

스티키 비트가 없으면 사용자가 디렉토리에 파일을 만들 수 있으면 해당 디렉토리에서 파일을 삭제할 수도 있습니다. 공개 그룹 환경에서는 성가실 수 있습니다. /data/account 디렉토리에 대한 쓰기 권한이 있고 계정 그룹의 구성원이 되어 해당 권한을 얻는 사용자 linda와 lori를 상상해 보십시오. 따라서 linda는 lori가 만든 파일을 삭제할 수 있으며 그 반대의 경우도 마찬가지입니다.

고정 비트를 적용할 때 사용자는 다음 조건 중 하나에 해당하는 경우에만 파일을 삭제할 수 있습니다.

• 사용자는 파일의 소유자입니다.
• 사용자는 파일이 있는 디렉토리의 소유자입니다.

를 사용할 때 ls -l, 끈적한 비트를 다음과 같이 볼 수 있습니다. t 일반적으로 다른 사람에 대한 실행 권한이 표시되는 위치에서:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

확장 권한 적용

SUID, SGID 및 고정 비트를 적용하려면 다음을 사용할 수도 있습니다. chmod를. SUID는 숫자 값 4, SGID는 숫자 값 2, 고정 비트는 숫자 값 1입니다.

이러한 권한을 적용하려면 다음 네 자리 인수를 추가해야 합니다. chmod를, 첫 번째 숫자는 특수 권한을 나타냅니다. 예를 들어 다음 줄은 디렉토리에 SGID 권한을 추가하고 사용자에 대해 rwx를 설정하고 그룹 및 기타에 대해 rx를 설정합니다.

chmod 2755 /somedir

작업하기 전에 설정된 현재 권한을 확인해야 하는 경우 이는 다소 비실용적입니다. chmod를 절대 모드에서. (그렇지 않으면 권한을 덮어쓸 위험이 있습니다.) 따라서 특수 권한을 적용해야 하는 경우 상대 모드에서 실행하는 것이 좋습니다.

1. SUID 사용 chmod u+s.
2. SGID 사용 chmod g+s.
3. 스티키 비트용 chmod +t, 권한을 설정하려는 파일 또는 디렉토리의 이름이 뒤따릅니다.

이 표에는 특수 권한 관리에 대해 알아야 할 모든 내용이 요약되어 있습니다.

특수 권한 작업의 예

이 예에서는 그룹 구성원이 공유 그룹 디렉터리에서 파일을 더 쉽게 공유할 수 있도록 특수 권한을 사용합니다. 설정된 그룹 ID와 스티키 비트에 ID 비트를 할당하고, 일단 설정되면 그룹 구성원이 더 쉽게 함께 작업할 수 있도록 기능이 추가되는 것을 볼 수 있습니다.

1. linda 사용자인 터미널을 엽니다. 명령으로 사용자를 생성할 수 있습니다. 사용자 추가 린다, 비밀번호 추가 passwd 린다.
2. 명령을 사용하여 루트 및 /data/sales 하위 디렉토리에 /data 디렉토리를 생성합니다. mkdir -p /데이터/판매. 완벽한 cd /데이터/판매판매 디렉토리로 이동합니다. 완벽한 터치 린다1 и 터치 린다2linda가 소유한 두 개의 빈 파일을 생성합니다.
3. 실행하다 수리사 현재 사용자를 sales 그룹의 구성원이기도 ​​한 사용자 lisa로 전환합니다.
4. 실행하다 cd /데이터/판매 그리고 그 디렉토리에서 실행 ls -l. linda 사용자가 생성하고 linda 그룹에 속하는 두 개의 파일이 표시됩니다. 완벽한 rm -f 린다*. 이렇게 하면 두 파일이 모두 제거됩니다.
5. 실행하다 터치 리사1 и 터치 리사2사용자 lisa가 소유한 두 개의 파일을 생성합니다.
6. 실행하다 수- 귀하의 권한을 루트로 올리십시오.
7. 실행하다 chmod g+s,o+t /데이터/판매그룹 식별자(GUID) 비트와 공유 그룹 디렉터리의 고정 비트를 설정합니다.
8. 실행하다 수-린다. 그럼 해 터치 린다3 и 터치 린다4. 이제 생성한 두 파일이 /data/sales 디렉토리의 그룹 소유자인 sales 그룹이 소유하고 있음을 볼 수 있습니다.
9. 실행하다 rm -rf 리사*. 고정 비트는 이러한 파일의 소유자가 아니기 때문에 linda 사용자를 대신하여 이러한 파일이 삭제되는 것을 방지합니다. linda 사용자가 /data/sales 디렉토리의 소유자인 경우 어쨌든 이 파일을 삭제할 수 있습니다!

Linux의 ACL 관리(setfacl, getfacl)

위에서 설명한 확장 권한이 Linux가 권한을 처리하는 방식에 유용한 기능을 추가하더라도 동일한 파일에서 둘 이상의 사용자 또는 그룹에 권한을 부여할 수는 없습니다.

액세스 제어 목록은 이 기능을 제공합니다. 또한 관리자는 복잡한 방식으로 기본 권한을 설정할 수 있으며 설정 권한은 디렉토리마다 다를 수 있습니다.

ACL 이해

ACL 하위 시스템은 서버에 뛰어난 기능을 추가하지만 한 가지 단점이 있습니다. 모든 유틸리티가 ACL을 지원하지는 않습니다. 따라서 파일을 복사하거나 이동할 때 ACL 설정이 손실될 수 있으며 백업 소프트웨어가 ACL 설정을 백업하지 못할 수 있습니다.

tar 유틸리티는 ACL을 지원하지 않습니다. 백업을 생성할 때 ACL 설정이 손실되지 않도록 하려면 다음을 사용하십시오. 별 타르 대신. 별 tar와 동일한 옵션으로 작동합니다. ACL 설정에 대한 지원만 추가합니다.

다음을 사용하여 ACL을 백업할 수도 있습니다. getfacl, setfacl 명령을 사용하여 복원할 수 있습니다. 백업을 생성하려면 다음을 사용하십시오. getfacl -R /디렉토리 > file.acls. 백업 파일에서 설정을 복원하려면 다음을 사용하십시오. setfacl --restore=file.acl.

일부 도구의 지원 부족은 문제가 되지 않습니다. ACL은 종종 개별 파일이 아닌 구조적 측정으로 디렉토리에 적용됩니다.
따라서 파일 시스템의 스마트 위치에 적용되는 항목이 많지 않고 소수에 불과합니다. 따라서 작업한 원본 ACL을 복원하는 것은 백업 소프트웨어에서 지원하지 않는 경우에도 상대적으로 쉽습니다.

ACL을 위한 파일 시스템 준비

ACL 작업을 시작하기 전에 ACL을 지원하도록 파일 시스템을 준비해야 할 수 있습니다. 파일 시스템 메타데이터를 확장해야 하므로 파일 시스템에서 ACL에 대한 기본 지원이 항상 있는 것은 아닙니다. 파일 시스템에 대한 ACL을 설정할 때 "지원되지 않는 작업" 메시지가 표시되면 파일 시스템이 ACL을 지원하지 않을 수 있습니다.

이 문제를 해결하려면 옵션을 추가해야 합니다. ACL 마운트 /etc/fstab에서 파일 시스템이 기본적으로 ACL 지원으로 마운트되도록 합니다.

setfacl 및 getfacl을 사용하여 ACL 설정 변경 및 보기

ACL을 설정하려면 다음 명령이 필요합니다. 설정. 현재 ACL 설정을 보려면 다음이 필요합니다. getfacl. 팀 ls -l 기존 ACL을 표시하지 않습니다. 권한 목록 뒤에 +만 표시되며 이는 ACL이 파일에도 적용됨을 나타냅니다.

ACL을 설정하기 전에 항상 현재 ACL 설정을 표시하는 것이 좋습니다. getfacl. 아래 예에서 다음과 같이 현재 권한을 볼 수 있습니다. ls -l, 그리고 또한 getfacl. 충분히 자세히 살펴보면 표시된 정보가 정확히 동일하다는 것을 알 수 있습니다.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

명령을 실행한 결과 getfacl 아래에서 사용자, 그룹 및 기타의 세 가지 개체에 대한 권한이 표시되는 것을 볼 수 있습니다. 이제 ACL을 추가하여 영업 그룹에도 읽기 및 실행 권한을 부여해 보겠습니다. 이것에 대한 명령 setfacl -mg:sales:rx /dir. 이 팀에서 -m 현재 ACL 설정을 변경해야 함을 나타냅니다. 이후 g:매출:rx 읽기 실행 ACL을 설정하도록 명령에 지시합니다(rx) 그룹에 대해 (g) 판매. 아래에서 명령의 모양과 현재 ACL 설정을 변경한 후 getfacl 명령의 출력을 볼 수 있습니다.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

이제 그룹 ACL을 설정하는 방법을 이해했으므로 사용자 및 다른 사용자에 대한 ACL을 쉽게 이해할 수 있습니다. 예를 들어, 명령 setfacl -mu:린다:rwx /데이터 linda를 소유자로 만들거나 현재 소유자의 할당을 변경하지 않고 /data 디렉토리의 사용자 linda에게 권한을 부여합니다.

팀 설정 많은 기능과 옵션이 있습니다. 한 가지 옵션이 특히 중요합니다. -R. 이 옵션을 사용하면 ACL을 설정한 디렉토리에 현재 존재하는 모든 파일 및 하위 디렉토리에 대해 ACL이 설정됩니다. 기존 디렉토리에 대한 ACL을 변경할 때 항상 이 옵션을 사용하는 것이 좋습니다.

기본 ACL 작업

ACL 사용의 이점 중 하나는 디렉토리에 있는 여러 사용자 또는 그룹에 권한을 부여할 수 있다는 것입니다. 또 다른 이점은 기본 ACL로 작업하여 상속을 활성화할 수 있다는 것입니다.

기본 ACL을 설정하여 디렉터리에 생성된 모든 새 항목에 대해 설정할 권한을 결정합니다. 기본 ACL은 기존 파일 및 하위 디렉토리에 대한 권한을 변경하지 않는다는 점에 유의하십시오. 이를 변경하려면 일반 ACL도 추가해야 합니다!

이것은 아는 것이 중요합니다. ACL을 사용하여 여러 사용자 또는 그룹이 동일한 디렉토리에 액세스하도록 구성하려면 ACL을 두 번 설정해야 합니다. 처음 사용 setfacl -R -m현재 파일의 ACL을 변경합니다. 그런 다음 사용 setfacl-md:생성될 모든 새 요소를 처리합니다.

기본 ACL을 설정하려면 옵션을 추가하기만 하면 됩니다. d 옵션 후 -m (주문이 중요합니다!). 그래서 사용 setfacl -md:g:sales:rx /데이터그룹 판매가 /data 디렉토리에 생성된 모든 것을 읽고 실행하기를 원하는 경우.

기본 ACL을 사용할 때 다른 사용자를 위해 ACL을 설정하는 것도 유용할 수 있습니다. 다음을 사용하여 다른 사람의 권한을 변경할 수도 있기 때문에 일반적으로 이치에 맞지 않습니다. chmod를. 그러나, 당신이 할 수 없는 일 chmod를, 생성되는 모든 새 파일에 대해 다른 사용자에게 부여해야 하는 권한을 지정하는 것입니다. 예를 들어 다른 사람이 /data에서 생성된 항목에 대한 권한을 얻지 못하도록 하려면 다음을 사용하십시오. setfacl -md:o::- /데이터.

ACL과 일반 권한이 항상 잘 통합되는 것은 아닙니다. 기본 ACL을 디렉터리에 적용한 다음 해당 디렉터리에 항목을 추가한 다음 일반 권한을 변경하려고 하면 문제가 발생할 수 있습니다. 일반 권한에 적용되는 변경 사항은 ACL 개요에 제대로 반영되지 않습니다. 문제를 피하려면 먼저 일반 권한을 설정한 다음 기본 ACL을 설정하십시오(그리고 그 후에는 다시 변경하지 마십시오).

ACL을 사용한 상승된 권한 관리의 예

이 예에서는 이전에 생성한 /data/account 및 /data/sales 디렉터리를 계속 사용합니다. 이전 예에서는 영업 그룹에 /data/sales에 대한 권한이 있고 계정 그룹에 /data/account에 대한 권한이 있는지 확인했습니다.

먼저 계정 그룹이 /data/sales 디렉터리에 대한 읽기 권한을 갖고 있고 영업 그룹이 /data/account 디렉터리에 대한 읽기 권한을 갖고 있는지 확인하십시오.

그런 다음 기본 ACL을 설정하여 모든 새 파일이 모든 새 항목에 대해 올바른 권한을 갖도록 설정합니다.

1. 터미널을 엽니다.
2. 실행하다 setfacl -mg:계정:rx /데이터/판매 и setfacl -mg:sales:rx /데이터/계정.
3. 실행하다 getfacl권한이 원하는 방식으로 설정되었는지 확인합니다.
4. 실행하다 setfacl -md:g:계정:rwx,g:sales:rx /데이터/판매판매 디렉토리의 기본 ACL을 설정합니다.
5. 다음을 사용하여 /data/account 디렉토리에 대한 기본 ACL을 추가하십시오. setfacl -md:g:sales:rwx,g:account:rx /데이터/계정.
6. 새 파일을 /data/sales에 추가하여 ACL 설정이 적용되는지 확인합니다. 완벽한 /data/sales/newfile을 터치합니다. 하고 getfacl /데이터/판매/새 파일 현재 권한을 확인합니다.

umask로 기본 권한 설정

위에서 기본 ACL로 작업하는 방법을 배웠습니다. ACL을 사용하지 않는 경우 얻을 수 있는 기본 권한을 결정하는 셸 옵션이 있습니다. 마스크 (리버스 마스크). 이 섹션에서는 다음을 사용하여 기본 권한을 변경하는 방법을 배웁니다. 마스크.

새 파일을 만들 때 일부 기본 권한이 설정된다는 것을 눈치채셨을 것입니다. 이러한 권한은 설정에 따라 결정됩니다. 마스크. 이 셸 설정은 로그온 시 모든 사용자에게 적용됩니다. 매개변수에서 마스크 파일에 대해 자동으로 설정할 수 있는 최대 권한에서 뺀 숫자 값이 사용됩니다. 파일의 최대 설정은 666이고 디렉터리의 최대 설정은 777입니다.

그러나 이 규칙에는 몇 가지 예외가 적용됩니다. 전체 설정 개요를 확인할 수 있습니다. 마스크 아래 표에서.

에 사용된 숫자 중 마스크, 명령에 대한 숫자 인수의 경우와 같이 chmod를, 첫 번째 숫자는 사용자의 권한을 나타내고 두 번째 숫자는 그룹의 권한을 나타내며 마지막 숫자는 다른 사람을 위해 설정된 기본 권한을 나타냅니다. 의미 마스크 기본 022는 모든 새 파일에 대해 644를 제공하고 서버에서 생성된 모든 새 디렉토리에 대해 755를 제공합니다.

모든 숫자 값의 전체 개요 마스크 그리고 그 결과는 아래 표에 나와 있습니다.

umask 설정이 어떻게 작동하는지 확인하는 쉬운 방법은 다음과 같습니다. 666으로 설정된 파일의 기본 권한으로 시작하고 umask를 빼서 유효 권한을 얻습니다. 디렉터리와 기본 권한 777에 대해 동일한 작업을 수행합니다.

umask 설정을 변경하는 방법에는 모든 사용자와 개별 사용자의 두 가지가 있습니다. 모든 사용자에 대해 umask를 설정하려면 /etc/profile에 지정된 대로 셸 환경 파일을 시작할 때 umask 설정을 고려해야 합니다. 올바른 방법은 /etc/profile.d 디렉토리에 umask.sh라는 쉘 스크립트를 만들고 해당 쉘 스크립트에서 사용하려는 umask를 지정하는 것입니다. 이 파일에서 umask를 변경하면 서버에 로그인한 후 모든 사용자에게 적용됩니다.

로그인하는 모든 사용자에게 적용되는 /etc/profile 및 관련 파일을 통해 umask를 설정하는 대신 각 사용자의 홈 디렉토리에 생성된 .profile 파일에서 umask 설정을 변경하는 방법이 있습니다.

이 파일에 적용된 설정은 개별 사용자에게만 적용됩니다. 따라서 이것은 더 자세한 정보가 필요한 경우 좋은 방법입니다. 저는 개인적으로 일반 사용자가 기본 umask 027로 실행하는 동안 루트 사용자의 기본 umask를 022로 변경하는 이 기능을 좋아합니다.

확장된 사용자 속성 작업

Linux 권한에 대한 마지막 섹션입니다.

사용 권한으로 작업할 때 사용자 또는 그룹 개체와 파일 또는 디렉터리에 대한 사용자 또는 그룹 개체의 사용 권한 간에는 항상 관계가 있습니다. Linux 서버에서 파일을 보호하는 다른 방법은 속성을 사용하는 것입니다.
속성은 파일에 액세스하는 사용자와 관계없이 작업을 수행합니다.

ACL과 마찬가지로 파일 속성에 옵션을 포함해야 할 수 있습니다. 마운트.

옵션입니다 user_xattr. 확장된 사용자 속성으로 작업할 때 "지원되지 않는 작업" 메시지가 표시되면 매개변수를 설정해야 합니다. 마운트 /etc/fstab에서

많은 속성이 문서화되어 있습니다. 일부 속성은 사용할 수 있지만 아직 구현되지 않았습니다. 사용하지 마십시오. 그들은 당신에게 아무것도 가져다주지 않을 것입니다.

다음은 적용할 수 있는 가장 유용한 특성입니다.

A 이 속성은 파일의 파일 액세스 시간이 변경되지 않도록 합니다.
일반적으로 파일을 열 때마다 파일의 액세스 시간이 파일의 메타데이터에 기록되어야 합니다. 이는 성능에 부정적인 영향을 미칩니다. 따라서 정기적으로 액세스되는 파일의 경우 속성 A 이 기능을 비활성화하는 데 사용할 수 있습니다.

a 이 속성을 사용하면 파일을 추가할 수 있지만 제거할 수는 없습니다.

c 볼륨 수준 압축을 지원하는 파일 시스템을 사용하는 경우 이 파일 속성은 압축 메커니즘이 처음 활성화될 때 파일이 압축되도록 합니다.

D 이 속성은 파일에 대한 변경 사항이 먼저 캐시되지 않고 디스크에 즉시 기록되도록 합니다. 이것은 중요한 데이터베이스 파일이 파일 캐시와 하드 드라이브 사이에서 손실되지 않도록 하는 데 유용한 속성입니다.

d 이 속성은 덤프 유틸리티가 사용되는 백업에 파일이 저장되지 않도록 합니다.

I 이 속성은 활성화된 디렉토리에 대한 인덱싱을 활성화합니다. 이는 빠른 파일 액세스를 위해 B-트리 데이터베이스를 사용하지 않는 Ext3와 같은 기본 파일 시스템에 더 빠른 파일 액세스를 제공합니다.

i 이 속성은 파일을 변경할 수 없게 만듭니다. 따라서 파일을 변경할 수 없으므로 추가 보호가 필요한 파일에 유용합니다.

j 이 속성은 ext3 파일 시스템에서 파일이 먼저 저널에 기록된 다음 하드 디스크의 데이터 블록에 기록되도록 합니다.

s 파일을 삭제한 후 파일이 저장된 블록을 0으로 덮어씁니다. 이렇게 하면 파일이 삭제된 후에는 복원할 수 없습니다.

u 이 속성은 삭제에 대한 정보를 저장합니다. 이를 통해 삭제된 파일을 복구하기 위해 이 정보와 함께 작동하는 유틸리티를 개발할 수 있습니다.

속성을 적용하려면 다음 명령을 사용할 수 있습니다. Chattr. 예를 들어 chattr +s 파일somefile에 속성을 적용합니다. 속성을 제거해야 합니까? 그런 다음 사용 chattr -s 파일제거됩니다. 현재 적용된 모든 속성의 개요를 보려면 다음 명령을 사용하십시오. lsattr.

개요

이 문서에서는 권한으로 작업하는 방법을 배웠습니다. 세 가지 기본 권한, 고급 권한 및 파일 시스템에서 ACL을 적용하는 방법에 대해 읽었습니다. umask 옵션을 사용하여 기본 권한을 적용하는 방법도 배웠습니다. 이 기사의 끝에서 사용자 확장 속성을 사용하여 파일 시스템 보안의 추가 계층을 적용하는 방법을 배웠습니다.

이 번역이 마음에 든다면 댓글에 적어주세요. 유용한 번역을 하려는 동기가 더 커질 것입니다.

기사의 일부 오타 및 문법 오류를 수정했습니다. 더 나은 가독성을 위해 일부 부피가 큰 단락을 더 작은 단락으로 줄였습니다.

"디렉토리에 대한 관리 권한이 있는 사람만 실행 권한을 적용할 수 있습니다." 대신 "디렉토리에 대한 쓰기 권한이 있는 사람만 실행 권한을 적용할 수 있습니다."로 고정되어 더 정확합니다.

의견 주셔서 감사합니다 베레즈.

교체됨:
사용자의 소유자가 아닌 경우 셸은 사용자가 파일 그룹이라고도 하는 그룹의 구성원인지 확인합니다.

에 :
파일 소유자가 아닌 경우 셸은 파일에 대한 권한이 있는 그룹의 구성원인지 확인합니다. 이 그룹의 구성원인 경우 그룹이 설정한 권한으로 파일에 액세스하고 셸에서 확인을 중지합니다.

당신의 의견에 감사드립니다 암호화폐해적

출처 : habr.com