ການອະນຸຍາດໃນ Linux (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

ສະບາຍດີທຸກຄົນ. ນີ້ແມ່ນການແປຂອງບົດຄວາມຈາກຫນັງສື RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 ແລະ EX300.

ຍູ້: ຂ້າພະເຈົ້າຫວັງວ່າບົດຄວາມຈະເປັນປະໂຫຍດບໍ່ພຽງແຕ່ສໍາລັບຜູ້ເລີ່ມຕົ້ນ, ແຕ່ຍັງຈະຊ່ວຍໃຫ້ຜູ້ບໍລິຫານທີ່ມີປະສົບການເພີ່ມເຕີມປັບປຸງຄວາມຮູ້ຂອງເຂົາເຈົ້າ.

ສະນັ້ນໃຫ້ໄປ.

ເພື່ອເຂົ້າເຖິງໄຟລ໌ໃນ Linux, ການອະນຸຍາດແມ່ນຖືກນໍາໃຊ້. ການອະນຸຍາດເຫຼົ່ານີ້ຖືກມອບໃຫ້ສາມວັດຖຸ: ເຈົ້າຂອງໄຟລ໌, ເຈົ້າຂອງກຸ່ມ, ແລະວັດຖຸອື່ນ (ນັ້ນແມ່ນ, ຄົນອື່ນ). ໃນບົດຄວາມນີ້, ທ່ານຈະຮຽນຮູ້ວິທີການສະຫມັກຂໍອະນຸຍາດ.

ບົດຄວາມເລີ່ມຕົ້ນດ້ວຍພາບລວມຂອງແນວຄວາມຄິດພື້ນຖານແລະຫຼັງຈາກນັ້ນປຶກສາຫາລືການອະນຸຍາດພິເສດແລະລາຍຊື່ການຄວບຄຸມການເຂົ້າເຖິງ (ACLs). ໃນຕອນທ້າຍຂອງບົດຄວາມນີ້ກວມເອົາການຕັ້ງຄ່າການອະນຸຍາດເລີ່ມຕົ້ນໂດຍຜ່ານ umask, ເຊັ່ນດຽວກັນກັບການຄຸ້ມຄອງຄຸນລັກສະນະຜູ້ໃຊ້ທີ່ຂະຫຍາຍ.

ການຈັດການຄວາມເປັນເຈົ້າຂອງໄຟລ໌

ກ່ອນທີ່ຈະປຶກສາຫາລືກ່ຽວກັບການອະນຸຍາດ, ທ່ານຄວນຮູ້ເຖິງບົດບາດຂອງເຈົ້າຂອງໄຟລ໌ແລະໄດເລກະທໍລີ. ການເປັນເຈົ້າຂອງໄຟລ໌ແລະໄດເລກະທໍລີແມ່ນສໍາຄັນຕໍ່ການຈັດການກັບການອະນຸຍາດ. ໃນພາກນີ້, ທ່ານທໍາອິດຈະຮຽນຮູ້ວິທີທີ່ທ່ານສາມາດເບິ່ງເຈົ້າຂອງ. ຫຼັງຈາກນັ້ນທ່ານຈະໄດ້ຮຽນຮູ້ວິທີການປ່ຽນເຈົ້າຂອງກຸ່ມແລະຜູ້ໃຊ້ສໍາລັບໄຟລ໌ແລະໄດເລກະທໍລີ.

ສະແດງເຈົ້າຂອງໄຟລ໌ ຫຼືໄດເລກະທໍລີ

ໃນ Linux, ທຸກໆໄຟລ໌ແລະທຸກໄດເລກະທໍລີມີສອງເຈົ້າຂອງ: ຜູ້ໃຊ້ແລະເຈົ້າຂອງກຸ່ມ.

ເຈົ້າຂອງເຫຼົ່ານີ້ຖືກຕັ້ງເມື່ອໄຟລ໌ຫຼືໄດເລກະທໍລີຖືກສ້າງຂື້ນ. ຜູ້ໃຊ້ທີ່ສ້າງໄຟລ໌ຈະກາຍເປັນເຈົ້າຂອງໄຟລ໌ນັ້ນ, ແລະກຸ່ມຕົ້ນຕໍທີ່ຜູ້ໃຊ້ດຽວກັນຂຶ້ນກັບກໍ່ຈະກາຍເປັນເຈົ້າຂອງໄຟລ໌ນັ້ນ. ເພື່ອກໍານົດວ່າທ່ານ, ໃນຖານະຜູ້ໃຊ້, ມີການອະນຸຍາດໃຫ້ເຂົ້າເຖິງໄຟລ໌ຫຼືໄດເລກະທໍລີ, shell ກວດເບິ່ງຄວາມເປັນເຈົ້າຂອງ.

ອັນນີ້ເກີດຂຶ້ນຕາມລຳດັບຕໍ່ໄປນີ້:

1. Shell ກວດເບິ່ງວ່າທ່ານເປັນເຈົ້າຂອງໄຟລ໌ທີ່ທ່ານຕ້ອງການທີ່ຈະເຂົ້າເຖິງຫຼືບໍ່. ຖ້າທ່ານເປັນເຈົ້າຂອງ, ທ່ານໄດ້ຮັບອະນຸຍາດແລະແກະຈະຢຸດການກວດສອບ.
2. ຖ້າທ່ານບໍ່ແມ່ນເຈົ້າຂອງໄຟລ໌, shell ຈະກວດເບິ່ງວ່າທ່ານເປັນສະມາຊິກຂອງກຸ່ມທີ່ມີການອະນຸຍາດໃນໄຟລ໌ຫຼືບໍ່. ຖ້າທ່ານເປັນສະມາຊິກຂອງກຸ່ມນີ້, ທ່ານຈະເຂົ້າເຖິງໄຟລ໌ດ້ວຍການອະນຸຍາດທີ່ກຸ່ມໄດ້ກໍານົດ, ແລະ shell ຈະຢຸດການກວດສອບ.
3. ຖ້າທ່ານບໍ່ແມ່ນຜູ້ໃຊ້ຫຼືເຈົ້າຂອງກຸ່ມ, ທ່ານໄດ້ຮັບສິດທິຂອງຜູ້ໃຊ້ອື່ນໆ (Other).

ເພື່ອເບິ່ງການມອບຫມາຍເຈົ້າຂອງປະຈຸບັນ, ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງ LS -L. ຄໍາສັ່ງນີ້ສະແດງໃຫ້ເຫັນຜູ້ໃຊ້ແລະເຈົ້າຂອງກຸ່ມ. ຂ້າງລຸ່ມນີ້ທ່ານສາມາດເບິ່ງການຕັ້ງຄ່າເຈົ້າຂອງສໍາລັບໄດເລກະທໍລີໃນ /home directory.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

ດ້ວຍຄໍາສັ່ງ ls ທ່ານສາມາດສະແດງເຈົ້າຂອງໄຟລ໌ຢູ່ໃນໄດເລກະທໍລີທີ່ໃຫ້. ບາງຄັ້ງມັນສາມາດເປັນປະໂຫຍດທີ່ຈະໄດ້ຮັບບັນຊີລາຍຊື່ຂອງໄຟລ໌ທັງຫມົດໃນລະບົບທີ່ມີຜູ້ໃຊ້ຫຼືກຸ່ມທີ່ເປັນເຈົ້າຂອງ. ສໍາລັບນີ້, ທ່ານສາມາດນໍາໃຊ້ ຊອກຫາ. ການໂຕ້ຖຽງ ຊອກຫາຜູ້ໃຊ້ ສາມາດຖືກນໍາໃຊ້ເພື່ອຈຸດປະສົງນີ້. ຕົວຢ່າງ, ຄໍາສັ່ງຕໍ່ໄປນີ້ລາຍຊື່ໄຟລ໌ທັງຫມົດທີ່ເປັນເຈົ້າຂອງໂດຍຜູ້ໃຊ້ linda:

find / -user linda

ນອກນັ້ນທ່ານຍັງສາມາດນໍາໃຊ້ ຊອກຫາ ເພື່ອຊອກຫາໄຟລ໌ທີ່ມີກຸ່ມທີ່ແນ່ນອນເປັນເຈົ້າຂອງຂອງເຂົາເຈົ້າ.

ຕົວຢ່າງ, ຄໍາສັ່ງຕໍ່ໄປນີ້ຊອກຫາໄຟລ໌ທັງຫມົດທີ່ຂຶ້ນກັບກຸ່ມ ຜູ້ຊົມໃຊ້:

find / -group users

ການປ່ຽນແປງເຈົ້າຂອງ

ເພື່ອນໍາໃຊ້ສິດທີ່ເຫມາະສົມ, ສິ່ງທໍາອິດທີ່ຕ້ອງພິຈາລະນາແມ່ນການເປັນເຈົ້າຂອງ. ມີຄໍາສັ່ງສໍາລັບການນີ້ chown. syntax ຂອງຄໍາສັ່ງນີ້ແມ່ນເຂົ້າໃຈງ່າຍ:

chown кто что

ຕົວຢ່າງ, ຄໍາສັ່ງຕໍ່ໄປນີ້ຈະປ່ຽນເຈົ້າຂອງບັນຊີ /home/account directory ໃຫ້ກັບຜູ້ໃຊ້ linda:

chown linda /home/account

ທີມງານ chown ມີຫຼາຍທາງເລືອກ, ຫນຶ່ງໃນນັ້ນເປັນປະໂຫຍດໂດຍສະເພາະ: -R. ທ່ານສາມາດເດົາໄດ້ວ່າມັນເຮັດຫຍັງເພາະວ່າຕົວເລືອກນີ້ມີໃຫ້ສໍາລັບຄໍາສັ່ງອື່ນໆຈໍານວນຫຼາຍເຊັ່ນດຽວກັນ. ນີ້ອະນຸຍາດໃຫ້ທ່ານຕັ້ງເຈົ້າຂອງ recursively, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຕັ້ງເຈົ້າຂອງໄດເລກະທໍລີປະຈຸບັນແລະທຸກສິ່ງທຸກຢ່າງຂ້າງລຸ່ມນີ້. ຄໍາສັ່ງຕໍ່ໄປນີ້ປ່ຽນເຈົ້າຂອງ /home directory ແລະທຸກສິ່ງທຸກຢ່າງພາຍໃຕ້ມັນໃຫ້ກັບຜູ້ໃຊ້ linda:

ດຽວນີ້ເຈົ້າຂອງເບິ່ງຄືດັ່ງນີ້:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

ມາເຮັດ:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

ໃນປັດຈຸບັນຜູ້ໃຊ້ lisa ໄດ້ກາຍເປັນເຈົ້າຂອງບັນຊີລາຍການ:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

ປ່ຽນເຈົ້າຂອງກຸ່ມ

ມີສອງວິທີທີ່ຈະປ່ຽນການເປັນເຈົ້າຂອງກຸ່ມ. ທ່ານສາມາດເຮັດສິ່ງນີ້ໂດຍໃຊ້ chown, ແຕ່ມີຄໍາສັ່ງພິເສດທີ່ມີຊື່ chgrpທີ່ເຮັດວຽກ. ຖ້າທ່ານຕ້ອງການໃຊ້ຄໍາສັ່ງ chown, ໃຊ້ . ຫຼື : ຢູ່ທາງຫນ້າຂອງຊື່ກຸ່ມ.

ຄໍາສັ່ງຕໍ່ໄປນີ້ຈະປ່ຽນເຈົ້າຂອງ /home/account group ໄປຫາກຸ່ມບັນຊີ:

chown .account /home/account

ທ່ານສາມາດໃຊ້ chown ເພື່ອປ່ຽນເຈົ້າຂອງຜູ້ໃຊ້ ແລະ/ຫຼືກຸ່ມໃນຫຼາຍວິທີ. ນີ້ແມ່ນບາງຕົວຢ່າງ:

• chown lisa myfile1 ຕັ້ງໃຫ້ຜູ້ໃຊ້ lisa ເປັນເຈົ້າຂອງ myfile1.
• chown lisa.sales myfile ຕັ້ງໃຫ້ຜູ້ໃຊ້ lisa ເປັນເຈົ້າຂອງໄຟລ໌ myfile, ແລະຍັງຕັ້ງກຸ່ມຂາຍເປັນເຈົ້າຂອງໄຟລ໌ດຽວກັນ.
• chown lisa:ການຂາຍ myfile ຄືກັນກັບຄໍາສັ່ງທີ່ຜ່ານມາ.
• chown .sales myfile ຕັ້ງກຸ່ມຂາຍເປັນເຈົ້າຂອງ myfile ໂດຍບໍ່ຕ້ອງປ່ຽນເຈົ້າຂອງຜູ້ໃຊ້.
• chown : ຂາຍ myfile ຄືກັນກັບຄໍາສັ່ງທີ່ຜ່ານມາ.

ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງ chgrpເພື່ອປ່ຽນເຈົ້າຂອງກຸ່ມ. ພິຈາລະນາຕົວຢ່າງຕໍ່ໄປນີ້, ບ່ອນທີ່ທ່ານສາມາດນໍາໃຊ້ chgrp ຕັ້ງເຈົ້າຂອງບັນຊີເປັນກຸ່ມຂາຍ:

chgrp .sales /home/account

ເຊັ່ນ​ດຽວ​ກັບ chown, ທ່ານສາມາດນໍາໃຊ້ທາງເລືອກ -R с chgrp, ເຊັ່ນດຽວກັນກັບການປ່ຽນແປງເຈົ້າຂອງກຸ່ມຄືນໃຫມ່.

ເຂົ້າໃຈເຈົ້າຂອງເດີມ

ເຈົ້າອາດຈະສັງເກດເຫັນວ່າເມື່ອຜູ້ໃຊ້ສ້າງໄຟລ໌, ຄວາມເປັນເຈົ້າຂອງເລີ່ມຕົ້ນຖືກນຳໃຊ້.
ຜູ້ໃຊ້ທີ່ສ້າງໄຟລ໌ຈະເປັນເຈົ້າຂອງໄຟລ໌ນັ້ນໂດຍອັດຕະໂນມັດ, ແລະກຸ່ມຫຼັກຂອງຜູ້ໃຊ້ນັ້ນຈະເປັນເຈົ້າຂອງໄຟລ໌ນັ້ນໂດຍອັດຕະໂນມັດ. ໂດຍປົກກະຕິແລ້ວນີ້ແມ່ນກຸ່ມທີ່ລະບຸໄວ້ໃນໄຟລ໌ /etc/passwd ເປັນກຸ່ມຫຼັກຂອງຜູ້ໃຊ້. ຢ່າງໃດກໍຕາມ, ຖ້າຜູ້ໃຊ້ເປັນສະມາຊິກຂອງຫຼາຍກຸ່ມ, ພວກເຂົາສາມາດປ່ຽນກຸ່ມຕົ້ນຕໍທີ່ມີປະສິດທິພາບ.

ເພື່ອສະແດງກຸ່ມປະຖົມທີ່ມີປະສິດທິພາບໃນປະຈຸບັນ, ຜູ້ໃຊ້ສາມາດໃຊ້ຄໍາສັ່ງ ກຸ່ມ:

[root@server1 ~]# groups lisa
lisa : lisa account sales

ຖ້າຜູ້ໃຊ້ linda ໃນປັດຈຸບັນຕ້ອງການປ່ຽນກຸ່ມຕົ້ນຕໍທີ່ມີປະສິດທິພາບ, ລາວຈະໃຊ້ຄໍາສັ່ງ grp ໃnew່ຕິດຕາມດ້ວຍຊື່ກຸ່ມທີ່ລາວຕ້ອງການຕັ້ງເປັນກຸ່ມປະຖົມທີ່ມີປະສິດທິພາບໃໝ່. ຫຼັງຈາກໃຊ້ຄໍາສັ່ງ grp ໃnew່ ກຸ່ມຕົ້ນຕໍຈະເຄື່ອນໄຫວຈົນກ່ວາຜູ້ໃຊ້ເຂົ້າໄປໃນຄໍາສັ່ງ ການທ່ອງທ່ຽວ ຫຼືບໍ່ອອກຈາກລະບົບ.

ຕໍ່ໄປນີ້ສະແດງໃຫ້ເຫັນວິທີທີ່ຜູ້ໃຊ້ linda ໃຊ້ຄໍາສັ່ງນີ້, ໂດຍມີການຂາຍເປັນກຸ່ມຕົ້ນຕໍ:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

ຫຼັງ​ຈາກ​ການ​ປ່ຽນ​ແປງ​ກຸ່ມ​ຕົ້ນ​ຕໍ​ທີ່​ມີ​ປະ​ສິດ​ທິ​ຜົນ​, ໄຟລ​໌​ໃຫມ່​ທັງ​ຫມົດ​ທີ່​ສ້າງ​ໂດຍ​ຜູ້​ໃຊ້​ຈະ​ມີ​ກຸ່ມ​ທີ່​ເປັນ​ເຈົ້າ​ຂອງ​ກຸ່ມ​ໄດ້​. ການທ່ອງທ່ຽວ.

ເພື່ອໃຫ້ສາມາດໃຊ້ຄໍາສັ່ງ grp ໃnew່, ຜູ້ໃຊ້ຕ້ອງເປັນສະມາຊິກຂອງກຸ່ມທີ່ພວກເຂົາຕ້ອງການໃຊ້ເປັນກຸ່ມຕົ້ນຕໍ. ນອກຈາກນັ້ນ, ລະຫັດຜ່ານກຸ່ມສາມາດໃຊ້ສໍາລັບກຸ່ມໂດຍໃຊ້ຄໍາສັ່ງ gpasswd. ຖ້າຜູ້ໃຊ້ໃຊ້ຄໍາສັ່ງ grp ໃnew່ແຕ່ບໍ່ແມ່ນສະມາຊິກຂອງກຸ່ມເປົ້າຫມາຍ, shell prompts ສໍາລັບລະຫັດຜ່ານຂອງກຸ່ມ. ຫຼັງຈາກທີ່ທ່ານໃສ່ລະຫັດຜ່ານກຸ່ມທີ່ຖືກຕ້ອງ, ກຸ່ມປະຖົມທີ່ມີປະສິດທິພາບໃຫມ່ຈະຖືກສ້າງຕັ້ງຂຶ້ນ.

ການຄຸ້ມຄອງສິດທິພື້ນຖານ

ລະບົບການອະນຸຍາດ Linux ຖືກສ້າງຂື້ນໃນຊຸມປີ 1970. ເນື່ອງຈາກວ່າຄວາມຕ້ອງການຄອມພິວເຕີໄດ້ຖືກຈໍາກັດໃນປີເຫຼົ່ານັ້ນ, ລະບົບການອະນຸຍາດພື້ນຖານແມ່ນຂ້ອນຂ້າງຈໍາກັດ. ລະບົບການອະນຸຍາດນີ້ໃຊ້ສິດອະນຸຍາດສາມອັນທີ່ສາມາດນໍາໃຊ້ກັບໄຟລ໌ແລະໄດເລກະທໍລີ. ໃນພາກນີ້, ທ່ານຈະຮຽນຮູ້ວິທີການນໍາໃຊ້ແລະການປ່ຽນແປງການອະນຸຍາດເຫຼົ່ານີ້.

ຄວາມເຂົ້າໃຈອ່ານ, ຂຽນ, ແລະປະຕິບັດການອະນຸຍາດ

ສາມສິດພື້ນຖານອະນຸຍາດໃຫ້ທ່ານອ່ານ, ຂຽນ, ແລະປະຕິບັດໄຟລ໌. ຜົນກະທົບຂອງການອະນຸຍາດເຫຼົ່ານີ້ແຕກຕ່າງກັນເມື່ອນໍາໃຊ້ກັບໄຟລ໌ຫຼືໄດເລກະທໍລີ. ສໍາລັບໄຟລ໌ໃດຫນຶ່ງ, ການອະນຸຍາດການອ່ານເຮັດໃຫ້ທ່ານມີສິດທີ່ຈະເປີດໄຟລ໌ສໍາລັບການອ່ານ. ດັ່ງນັ້ນ, ທ່ານສາມາດອ່ານເນື້ອໃນຂອງມັນ, ແຕ່ນັ້ນຫມາຍຄວາມວ່າຄອມພິວເຕີຂອງທ່ານສາມາດເປີດໄຟລ໌ເພື່ອເຮັດບາງສິ່ງບາງຢ່າງກັບມັນ.

ໄຟລ໌ໂຄງການທີ່ຕ້ອງການເຂົ້າເຖິງຫ້ອງສະຫມຸດຈະຕ້ອງມີການເຂົ້າເຖິງການອ່ານຫ້ອງສະຫມຸດນັ້ນ. ມັນດັ່ງຕໍ່ໄປນີ້ວ່າການອະນຸຍາດອ່ານແມ່ນການອະນຸຍາດພື້ນຖານທີ່ສຸດທີ່ທ່ານຕ້ອງການເຮັດວຽກກັບໄຟລ໌.

ເມື່ອນໍາໃຊ້ກັບໄດເລກະທໍລີ, ການອ່ານຊ່ວຍໃຫ້ທ່ານສາມາດສະແດງເນື້ອຫາຂອງໄດເລກະທໍລີນັ້ນ. ທ່ານຄວນຮັບຮູ້ວ່າການອະນຸຍາດນີ້ບໍ່ອະນຸຍາດໃຫ້ທ່ານອ່ານໄຟລ໌ທີ່ຢູ່ໃນໄດເລກະທໍລີ. ລະບົບການອະນຸຍາດ Linux ບໍ່ຮູ້ການສືບທອດ, ແລະວິທີດຽວທີ່ຈະອ່ານໄຟລ໌ແມ່ນການໃຊ້ສິດອ່ານໃນໄຟລ໌ນັ້ນ.

ດັ່ງທີ່ທ່ານອາດຈະຄາດເດົາໄດ້, ການອະນຸຍາດຂຽນ, ຖ້າໃຊ້ກັບໄຟລ໌, ອະນຸຍາດໃຫ້ຂຽນໃສ່ໄຟລ໌. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ມັນອະນຸຍາດໃຫ້ທ່ານສາມາດປ່ຽນເນື້ອໃນຂອງໄຟລ໌ທີ່ມີຢູ່ແລ້ວ. ຢ່າງໃດກໍ່ຕາມ, ມັນບໍ່ໄດ້ອະນຸຍາດໃຫ້ທ່ານສ້າງຫຼືລຶບໄຟລ໌ໃຫມ່ຫຼືປ່ຽນການອະນຸຍາດໄຟລ໌. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງໄດ້ອະນຸຍາດໃຫ້ຂຽນກັບໄດເລກະທໍລີທີ່ທ່ານຕ້ອງການສ້າງໄຟລ໌. ໃນໄດເລກະທໍລີ, ການອະນຸຍາດນີ້ຍັງອະນຸຍາດໃຫ້ທ່ານສ້າງແລະລຶບໄດເລກະທໍລີຍ່ອຍໃຫມ່.

ປະຕິບັດການອະນຸຍາດແມ່ນສິ່ງທີ່ທ່ານຕ້ອງການປະຕິບັດໄຟລ໌. ມັນຈະບໍ່ຖືກຕິດຕັ້ງໂດຍຄ່າເລີ່ມຕົ້ນ, ເຊິ່ງເຮັດໃຫ້ Linux ເກືອບມີພູມຕ້ານທານກັບໄວຣັດ. ມີພຽງແຕ່ຄົນທີ່ມີການອະນຸຍາດການຂຽນຢູ່ໃນໄດເລກະທໍລີທີ່ສາມາດສະຫມັກຂໍເອົາການອະນຸຍາດ.

ຕໍ່ໄປນີ້ສະຫຼຸບການນໍາໃຊ້ການອະນຸຍາດພື້ນຖານ:

ໃຊ້ chmod

ເພື່ອຈັດການສິດ, ໃຊ້ຄໍາສັ່ງ chmod. ການນໍາໃຊ້ chmod ທ່ານສາມາດກໍານົດການອະນຸຍາດສໍາລັບຜູ້ໃຊ້ (ຜູ້ໃຊ້), ກຸ່ມ (ກຸ່ມ) ແລະອື່ນໆ (ອື່ນໆ). ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງນີ້ໃນສອງໂຫມດ: ໂຫມດພີ່ນ້ອງແລະໂຫມດຢ່າງແທ້ຈິງ. ໃນຮູບແບບຢ່າງແທ້ຈິງ, ສາມຕົວເລກຖືກນໍາໃຊ້ເພື່ອກໍານົດການອະນຸຍາດພື້ນຖານ.

ເມື່ອກໍານົດການອະນຸຍາດ, ຄິດໄລ່ມູນຄ່າທີ່ທ່ານຕ້ອງການ. ຖ້າທ່ານຕ້ອງການຕັ້ງຄ່າ read/write/execute ສໍາລັບຜູ້ໃຊ້, read/execute for group, ແລະ read/execute for others in /somefile ຫຼັງຈາກນັ້ນທ່ານໃຊ້ຄໍາສັ່ງຕໍ່ໄປນີ້. chmod:

chmod 755 /somefile

ເມື່ອທ່ານໃຊ້ chmod ດ້ວຍວິທີນີ້, ການອະນຸຍາດໃນປະຈຸບັນທັງຫມົດຈະຖືກແທນທີ່ໂດຍການອະນຸຍາດທີ່ທ່ານຕັ້ງ.

ຖ້າທ່ານຕ້ອງການປ່ຽນການອະນຸຍາດທີ່ກ່ຽວຂ້ອງກັບການອະນຸຍາດໃນປະຈຸບັນ, ທ່ານສາມາດນໍາໃຊ້ chmod ໃນຮູບແບບພີ່ນ້ອງ. ການນໍາໃຊ້ chmod ໃນ​ຮູບ​ແບບ​ພີ່​ນ້ອງ​ກັນ​, ທ່ານ​ເຮັດ​ວຽກ​ຮ່ວມ​ກັບ​ສາມ​ຕົວ​ຊີ້​ວັດ​ເພື່ອ​ຊີ້​ບອກ​ສິ່ງ​ທີ່​ທ່ານ​ຕ້ອງ​ການ​ເຮັດ​:

1. ທໍາອິດທ່ານລະບຸວ່າທ່ານຕ້ອງການປ່ຽນການອະນຸຍາດສໍາລັບໃຜ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານສາມາດເລືອກລະຫວ່າງຜູ້ໃຊ້ (.u), ກຸ່ມ (g) ແລະ​ອື່ນໆ (o).
2. ຫຼັງຈາກນັ້ນ, ທ່ານໃຊ້ຄໍາສັ່ງທີ່ຈະເພີ່ມຫຼືເອົາການອະນຸຍາດຈາກຮູບແບບປະຈຸບັນ, ຫຼືກໍານົດໃຫ້ເຂົາເຈົ້າຢ່າງແທ້ຈິງ.
3. ໃນຕອນທ້າຍຂອງທ່ານໃຊ້ r, w и xເພື່ອລະບຸສິດອະນຸຍາດທີ່ທ່ານຕ້ອງການຕັ້ງ.

ເມື່ອມີການປ່ຽນແປງການອະນຸຍາດໃນໂຫມດພີ່ນ້ອງ, ທ່ານສາມາດຂ້າມສ່ວນ "ໄປ" ເພື່ອເພີ່ມຫຼືເອົາການອະນຸຍາດສໍາລັບວັດຖຸທັງຫມົດ. ຕົວຢ່າງ, ຄໍາສັ່ງນີ້ເພີ່ມການອະນຸຍາດປະຕິບັດສໍາລັບຜູ້ໃຊ້ທັງຫມົດ:

chmod +x somefile

ເມື່ອເຮັດວຽກຢູ່ໃນຮູບແບບພີ່ນ້ອງ, ທ່ານຍັງສາມາດໃຊ້ຄໍາສັ່ງທີ່ສັບສົນຫຼາຍ. ຕົວຢ່າງ, ຄໍາສັ່ງນີ້ເພີ່ມການອະນຸຍາດການຂຽນໃຫ້ກັບກຸ່ມແລະເອົາການອະນຸຍາດການອ່ານສໍາລັບຄົນອື່ນ:

chmod g+w,o-r somefile

ການ ນຳ ໃຊ້ chmod -R o+rx /data ທ່ານກໍານົດການອະນຸຍາດປະຕິບັດສໍາລັບໄດເລກະທໍລີທັງຫມົດເຊັ່ນດຽວກັນກັບໄຟລ໌ໃນ /data directory. ເພື່ອກໍານົດການອະນຸຍາດປະຕິບັດພຽງແຕ່ສໍາລັບໄດເລກະທໍລີແລະບໍ່ແມ່ນສໍາລັບໄຟລ໌, ໃຊ້ chmod -R o+ rX /data.

ຕົວພິມໃຫຍ່ X ຮັບປະກັນວ່າໄຟລ໌ບໍ່ໄດ້ຮັບການອະນຸຍາດປະຕິບັດເວັ້ນເສຍແຕ່ວ່າໄຟລ໌ໄດ້ກໍານົດການອະນຸຍາດປະຕິບັດສໍາລັບບາງວັດຖຸ. ນີ້ເຮັດໃຫ້ X ເປັນວິທີທີ່ສະຫລາດກວ່າທີ່ຈະຈັດການກັບການອະນຸຍາດປະຕິບັດ; ນີ້ຈະຫຼີກເວັ້ນການກໍານົດການອະນຸຍາດນີ້ຢູ່ໃນໄຟລ໌ທີ່ມັນບໍ່ຈໍາເປັນ.

ຂະຫຍາຍສິດທິ

ນອກເຫນືອຈາກການອະນຸຍາດພື້ນຖານທີ່ທ່ານພຽງແຕ່ອ່ານກ່ຽວກັບ, Linux ຍັງມີຊຸດການອະນຸຍາດຂັ້ນສູງ. ເຫຼົ່ານີ້ບໍ່ແມ່ນສິດອະນຸຍາດທີ່ທ່ານຕັ້ງໄວ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ແຕ່ບາງຄັ້ງພວກມັນສະຫນອງການເພີ່ມເຕີມທີ່ເປັນປະໂຫຍດ. ໃນພາກນີ້, ທ່ານຈະໄດ້ຮຽນຮູ້ວ່າພວກມັນແມ່ນຫຍັງແລະວິທີການຕັ້ງຄ່າພວກມັນ.

ຄວາມເຂົ້າໃຈ SUID, GUID, ແລະ Sticky Bit Extended Permissions

ມີການອະນຸຍາດຂັ້ນສູງສາມອັນ. ອັນທໍາອິດແມ່ນການອະນຸຍາດໃຫ້ກໍານົດຕົວລະບຸຜູ້ໃຊ້ (SUID). ໃນບາງກໍລະນີພິເສດ, ທ່ານສາມາດນໍາໃຊ້ການອະນຸຍາດນີ້ກັບໄຟລ໌ທີ່ປະຕິບັດໄດ້. ໂດຍຄ່າເລີ່ມຕົ້ນ, ຜູ້ໃຊ້ທີ່ເປີດໃຊ້ງານທີ່ສາມາດປະຕິບັດໄດ້ຈະແລ່ນໄຟລ໌ນັ້ນດ້ວຍການອະນຸຍາດຂອງຕົນເອງ.

ສໍາລັບຜູ້ໃຊ້ປົກກະຕິ, ນີ້ມັກຈະຫມາຍຄວາມວ່າການນໍາໃຊ້ຂອງໂຄງການແມ່ນຈໍາກັດ. ຢ່າງໃດກໍຕາມ, ໃນບາງກໍລະນີ, ຜູ້ໃຊ້ຕ້ອງການການອະນຸຍາດພິເສດພຽງແຕ່ປະຕິບັດວຽກງານສະເພາະໃດຫນຶ່ງ.

ຕົວຢ່າງ, ພິຈາລະນາສະຖານະການທີ່ຜູ້ໃຊ້ຕ້ອງການປ່ຽນລະຫັດຜ່ານຂອງເຂົາເຈົ້າ. ເພື່ອເຮັດສິ່ງນີ້, ຜູ້ໃຊ້ຕ້ອງຂຽນລະຫັດຜ່ານໃຫມ່ຂອງພວກເຂົາໃສ່ໄຟລ໌ /etc/shadow. ຢ່າງໃດກໍຕາມ, ໄຟລ໌ນີ້ບໍ່ສາມາດຂຽນໄດ້ໂດຍຜູ້ໃຊ້ທີ່ບໍ່ແມ່ນຮາກ:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

ການ​ອະ​ນຸ​ຍາດ SUID ສະ​ຫນອງ​ການ​ແກ້​ໄຂ​ບັນ​ຫາ​ນີ້​. ຍູທິລິຕີ້ /usr/bin/passwd ໃຊ້ສິດອະນຸຍາດນີ້ຕາມຄ່າເລີ່ມຕົ້ນ. ນີ້ຫມາຍຄວາມວ່າເມື່ອປ່ຽນລະຫັດຜ່ານ, ຜູ້ໃຊ້ຊົ່ວຄາວກາຍເປັນຮາກ, ເຊິ່ງອະນຸຍາດໃຫ້ລາວຂຽນໃສ່ໄຟລ໌ /etc/shadow. ທ່ານສາມາດເບິ່ງການອະນຸຍາດ SUID ກັບ LS -L ວິທີການ s ຢູ່​ໃນ​ຕໍາ​ແຫນ່ງ​ທີ່​ຕາມ​ປົກ​ກະ​ຕິ​ທ່ານ​ຄາດ​ຫວັງ​ວ່າ​ຈະ​ໄດ້​ເຫັນ x ສໍາລັບການອະນຸຍາດທີ່ກໍາຫນົດເອງ:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

ການອະນຸຍາດ SUID ອາດຈະເບິ່ງຄືວ່າເປັນປະໂຫຍດ (ແລະໃນບາງກໍລະນີ), ແຕ່ໃນເວລາດຽວກັນມັນກໍ່ເປັນອັນຕະລາຍ. ຖ້າ​ຫາກ​ວ່າ​ບໍ່​ໄດ້​ນໍາ​ໃຊ້​ຢ່າງ​ຖືກ​ຕ້ອງ​, ທ່ານ​ອຸ​ບັດ​ຕິ​ເຫດ​ສາ​ມາດ​ໃຫ້​ການ​ອະ​ນຸ​ຍາດ​ຮາກ​. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າແນະນໍາໃຫ້ໃຊ້ມັນພຽງແຕ່ລະມັດລະວັງທີ່ສຸດ.

ຜູ້ບໍລິຫານສ່ວນໃຫຍ່ຈະບໍ່ຈໍາເປັນຕ້ອງໃຊ້ມັນ; ທ່ານພຽງແຕ່ຈະເຫັນມັນຢູ່ໃນບາງໄຟລ໌ທີ່ລະບົບປະຕິບັດການຄວນຕັ້ງມັນໄວ້ໂດຍຄ່າເລີ່ມຕົ້ນ.

ການອະນຸຍາດພິເສດທີສອງແມ່ນຕົວລະບຸກຸ່ມ (SGID). ການອະນຸຍາດນີ້ມີສອງຜົນກະທົບ. ເມື່ອນໍາໃຊ້ກັບໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, ມັນເຮັດໃຫ້ຜູ້ໃຊ້ທີ່ປະຕິບັດໄຟລ໌ໄດ້ຮັບການອະນຸຍາດຈາກເຈົ້າຂອງກຸ່ມຂອງໄຟລ໌. ດັ່ງນັ້ນ SGID ສາມາດເຮັດໄດ້ຫຼາຍກວ່າຫຼືຫນ້ອຍດຽວກັນກັບ SUID. ຢ່າງໃດກໍຕາມ, SGID ບໍ່ໄດ້ຖືກນໍາໃຊ້ເພື່ອຈຸດປະສົງນີ້.

ເຊັ່ນດຽວກັນກັບການອະນຸຍາດ SUID, SGID ຖືກນໍາໃຊ້ກັບບາງໄຟລ໌ລະບົບເປັນການຕັ້ງຄ່າເລີ່ມຕົ້ນ.

ເມື່ອນໍາໃຊ້ກັບໄດເລກະທໍລີ, SGID ສາມາດເປັນປະໂຫຍດເພາະວ່າທ່ານສາມາດນໍາໃຊ້ມັນເພື່ອກໍານົດເຈົ້າຂອງກຸ່ມເລີ່ມຕົ້ນສໍາລັບໄຟລ໌ແລະໄດເລກະທໍລີຍ່ອຍທີ່ສ້າງຢູ່ໃນໄດເລກະທໍລີນັ້ນ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ເມື່ອຜູ້ໃຊ້ສ້າງໄຟລ໌, ກຸ່ມຕົ້ນຕໍທີ່ມີປະສິດທິພາບຂອງພວກເຂົາຖືກຕັ້ງເປັນເຈົ້າຂອງກຸ່ມສໍາລັບໄຟລ໌ນັ້ນ.

ອັນນີ້ບໍ່ມີປະໂຫຍດຫຼາຍສະເໝີໄປ, ໂດຍສະເພາະຜູ້ໃຊ້ Red Hat/CentOS ມີກຸ່ມຫຼັກຂອງເຂົາເຈົ້າຕັ້ງເປັນກຸ່ມທີ່ມີຊື່ດຽວກັນກັບຜູ້ໃຊ້, ແລະຜູ້ໃຊ້ແມ່ນສະມາຊິກເທົ່ານັ້ນ. ດັ່ງນັ້ນ, ໂດຍຄ່າເລີ່ມຕົ້ນ, ໄຟລ໌ທີ່ຜູ້ໃຊ້ສ້າງຈະຖືກແບ່ງປັນເປັນຈໍານວນຫຼາຍ.

ຈິນຕະນາການສະຖານະການທີ່ຜູ້ໃຊ້ linda ແລະ lori ເຮັດວຽກໃນບັນຊີແລະເປັນສະມາຊິກຂອງກຸ່ມ ບັນຊີ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ຜູ້ໃຊ້ເຫຼົ່ານີ້ແມ່ນສະມາຊິກຂອງກຸ່ມສ່ວນຕົວທີ່ເຂົາເຈົ້າເປັນສະມາຊິກເທົ່ານັ້ນ. ຢ່າງໃດກໍຕາມ, ຜູ້ໃຊ້ທັງສອງແມ່ນສະມາຊິກຂອງກຸ່ມບັນຊີ, ແຕ່ຍັງເປັນຕົວກໍານົດການກຸ່ມທີສອງ.

ສະຖານະການເລີ່ມຕົ້ນແມ່ນວ່າເມື່ອຜູ້ໃຊ້ເຫຼົ່ານີ້ສ້າງໄຟລ໌, ກຸ່ມຕົ້ນຕໍຈະກາຍເປັນເຈົ້າຂອງ. ດັ່ງນັ້ນ, ໂດຍຄ່າເລີ່ມຕົ້ນ, linda ບໍ່ສາມາດເຂົ້າເຖິງໄຟລ໌ທີ່ສ້າງໂດຍ lori, ແລະໃນທາງກັບກັນ. ຢ່າງໃດກໍຕາມ, ຖ້າທ່ານສ້າງລາຍຊື່ກຸ່ມທີ່ໃຊ້ຮ່ວມກັນ (ເວົ້າ / ກຸ່ມ / ບັນຊີ) ແລະໃຫ້ແນ່ໃຈວ່າການອະນຸຍາດ SGID ຖືກນໍາໃຊ້ກັບໄດເລກະທໍລີນັ້ນແລະບັນຊີກຸ່ມຖືກຕັ້ງເປັນເຈົ້າຂອງກຸ່ມສໍາລັບໄດເລກະທໍລີນັ້ນ, ໄຟລ໌ທັງຫມົດທີ່ສ້າງຢູ່ໃນໄດເລກະທໍລີນັ້ນແລະທັງຫມົດ. ຂອງໄດເລກະທໍລີຍ່ອຍຂອງມັນ, ຍັງໄດ້ຮັບບັນຊີກຸ່ມເປັນເຈົ້າຂອງກຸ່ມໂດຍຄ່າເລີ່ມຕົ້ນ.

ສໍາລັບເຫດຜົນນີ້, ການອະນຸຍາດ SGID ແມ່ນການອະນຸຍາດທີ່ເປັນປະໂຫຍດຫຼາຍທີ່ຈະຕັ້ງຢູ່ໃນລາຍຊື່ກຸ່ມສາທາລະນະ.

ການອະນຸຍາດ SGID ສະແດງຢູ່ໃນຜົນຜະລິດ LS -L ວິທີການ s ຢູ່​ໃນ​ຕໍາ​ແຫນ່ງ​ທີ່​ປົກ​ກະ​ຕິ​ທ່ານ​ຈະ​ຊອກ​ຫາ​ການ​ອະ​ນຸ​ຍາດ​ໃຫ້​ປະ​ຕິ​ບັດ​ກຸ່ມ​:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

ທີສາມຂອງການອະນຸຍາດພິເສດແມ່ນຫນຽວ. ການອະນຸຍາດນີ້ແມ່ນເປັນປະໂຫຍດສໍາລັບການປົກປ້ອງໄຟລ໌ຈາກການລຶບໂດຍບັງເອີນໃນສະພາບແວດລ້ອມທີ່ຜູ້ໃຊ້ຫຼາຍຄົນມີການເຂົ້າເຖິງການຂຽນໃນໄດເລກະທໍລີດຽວກັນ. ຖ້າໃຊ້ບິດຫນຽວ, ຜູ້ໃຊ້ສາມາດລຶບໄຟລ໌ພຽງແຕ່ຖ້າພວກເຂົາເປັນເຈົ້າຂອງຜູ້ໃຊ້ຂອງໄຟລ໌ຫຼືໄດເລກະທໍລີທີ່ມີໄຟລ໌. ສໍາລັບເຫດຜົນນີ້, ມັນຖືກນໍາໃຊ້ເປັນການອະນຸຍາດເລີ່ມຕົ້ນສໍາລັບໄດເລກະທໍລີ / tmp ແລະສາມາດເປັນປະໂຫຍດສໍາລັບລາຍຊື່ກຸ່ມສາທາລະນະເຊັ່ນກັນ.

ໂດຍບໍ່ມີຄວາມຫນຽວ, ຖ້າຜູ້ໃຊ້ສາມາດສ້າງໄຟລ໌ໃນໄດເລກະທໍລີ, ພວກເຂົາຍັງສາມາດລຶບໄຟລ໌ຈາກໄດເລກະທໍລີນັ້ນ. ໃນສະພາບແວດລ້ອມຂອງກຸ່ມສາທາລະນະ, ນີ້ສາມາດເປັນທີ່ຫນ້າລໍາຄານ. ຈິນຕະນາການຜູ້ໃຊ້ linda ແລະ lori, ຜູ້ທີ່ທັງສອງມີສິດອະນຸຍາດການຂຽນບັນຊີ /data / ບັນຊີແລະໄດ້ຮັບການອະນຸຍາດເຫຼົ່ານັ້ນໂດຍການເປັນສະມາຊິກຂອງກຸ່ມບັນຊີ. ເພາະສະນັ້ນ linda ສາມາດລຶບໄຟລ໌ທີ່ສ້າງຂຶ້ນໂດຍ lori ແລະໃນທາງກັບກັນ.

ເມື່ອທ່ານໃຊ້ບິດຫນຽວ, ຜູ້ໃຊ້ສາມາດລຶບໄຟລ໌ພຽງແຕ່ຖ້າວ່າຫນຶ່ງໃນເງື່ອນໄຂຕໍ່ໄປນີ້ແມ່ນຄວາມຈິງ:

• ຜູ້ໃຊ້ເປັນເຈົ້າຂອງໄຟລ໌;
• ຜູ້ໃຊ້ເປັນເຈົ້າຂອງໄດເລກະທໍລີທີ່ໄຟລ໌ຕັ້ງຢູ່.

ການ ນຳ ໃຊ້ LS -L, ທ່ານສາມາດເບິ່ງ bit ຫນຽວເປັນ t ຢູ່ໃນຕໍາແຫນ່ງທີ່ປົກກະຕິທ່ານຈະເຫັນການອະນຸຍາດປະຕິບັດສໍາລັບຜູ້ອື່ນ:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

ນຳໃຊ້ສິດຂະຫຍາຍ

ເພື່ອສະຫມັກຂໍເອົາ SUID, SGID ແລະ sticky bit ທ່ານກໍ່ສາມາດໃຊ້ໄດ້ chmod. SUID ມີມູນຄ່າຕົວເລກ 4, SGID ມີມູນຄ່າຕົວເລກ 2, ແລະ sticky bit ມີມູນຄ່າຕົວເລກ 1.

ຖ້າທ່ານຕ້ອງການໃຊ້ສິດອະນຸຍາດເຫຼົ່ານີ້, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມການໂຕ້ຖຽງສີ່ຕົວເລກໃສ່ chmod, ເຊິ່ງຕົວເລກທໍາອິດຫມາຍເຖິງການອະນຸຍາດພິເສດ. ແຖວຕໍ່ໄປນີ້, ສໍາລັບການຍົກຕົວຢ່າງ, ຈະເພີ່ມການອະນຸຍາດ SGID ກັບໄດເລກະທໍລີແລະກໍານົດ rwx ສໍາລັບຜູ້ໃຊ້ແລະ rx ສໍາລັບກຸ່ມແລະອື່ນໆ:

chmod 2755 /somedir

ນີ້ແມ່ນແທນທີ່ຈະໃຊ້ບໍ່ໄດ້ຖ້າທ່ານຕ້ອງການເບິ່ງການອະນຸຍາດໃນປະຈຸບັນທີ່ຖືກກໍານົດໄວ້ກ່ອນທີ່ຈະເຮັດວຽກກັບ chmod ໃນຮູບແບບຢ່າງແທ້ຈິງ. (ທ່ານມີຄວາມສ່ຽງຕໍ່ການຂຽນທັບສິດຖ້າທ່ານບໍ່ເຮັດ.) ສະນັ້ນຂ້າພະເຈົ້າຂໍແນະນໍາໃຫ້ແລ່ນຢູ່ໃນຮູບແບບພີ່ນ້ອງຖ້າທ່ານຕ້ອງການໃຊ້ສິດພິເສດໃດໆ:

1. ສໍາລັບການນໍາໃຊ້ SUID chmod u+s.
2. ສໍາລັບການນໍາໃຊ້ SGID chmod g+s.
3. ສໍາລັບການນໍາໃຊ້ຫນຽວ chmod +t, ຕິດຕາມດ້ວຍຊື່ຂອງໄຟລ໌ຫຼືໄດເລກະທໍລີທີ່ທ່ານຕ້ອງການກໍານົດການອະນຸຍາດ.

ຕາຕະລາງສະຫຼຸບທຸກຢ່າງທີ່ເຈົ້າຕ້ອງການຮູ້ກ່ຽວກັບການຄຸ້ມຄອງການອະນຸຍາດພິເສດ.

ຕົວຢ່າງຂອງການເຮັດວຽກກັບສິດທິພິເສດ

ໃນຕົວຢ່າງນີ້, ທ່ານໃຊ້ສິດພິເສດເພື່ອເຮັດໃຫ້ສະມາຊິກກຸ່ມສາມາດແບ່ງປັນໄຟລ໌ໃນໄດເລກະທໍລີຂອງກຸ່ມທີ່ແບ່ງປັນໄດ້ງ່າຍຂຶ້ນ. ທ່ານກໍານົດ ID bit ໃຫ້ກັບ ID ກຸ່ມທີ່ກໍານົດໄວ້ເຊັ່ນດຽວກັນກັບ bit ຫນຽວ, ແລະທ່ານເຫັນວ່າເມື່ອພວກເຂົາຖືກຕັ້ງ, ຄຸນສົມບັດຕ່າງໆຈະຖືກເພີ່ມເພື່ອເຮັດໃຫ້ມັນງ່າຍຂຶ້ນສໍາລັບສະມາຊິກກຸ່ມທີ່ຈະເຮັດວຽກຮ່ວມກັນ.

1. ເປີດ terminal ບ່ອນທີ່ທ່ານເປັນຜູ້ໃຊ້ linda. ທ່ານສາມາດສ້າງຜູ້ໃຊ້ດ້ວຍຄໍາສັ່ງ ລິນດາ, ເພີ່ມລະຫັດຜ່ານ ຜ່ານ Linda.
2. ສ້າງໄດເລກະທໍລີ /data ໃນຮາກແລະໄດເລກະທໍລີຍ່ອຍ /data/sales ດ້ວຍຄໍາສັ່ງ mkdir -p /data/ການຂາຍ. ສໍາເລັດ cd /data/ການຂາຍໄປທີ່ໄດເລກະທໍລີການຂາຍ. ສໍາເລັດ ແຕະ linda1 и ແຕະ linda2ເພື່ອສ້າງໄຟລ໌ຫວ່າງເປົ່າສອງອັນເປັນເຈົ້າຂອງໂດຍ linda.
3. ປະຕິບັດ su-lisa ເພື່ອປ່ຽນຜູ້ໃຊ້ປັດຈຸບັນໄປຫາຜູ້ໃຊ້ lisa, ຜູ້ທີ່ເປັນສະມາຊິກຂອງກຸ່ມການຂາຍເຊັ່ນກັນ.
4. ປະຕິບັດ cd /data/ການຂາຍ ແລະຈາກໄດເລກະທໍລີທີ່ດໍາເນີນການ LS -L. ທ່ານຈະເຫັນສອງໄຟລ໌ທີ່ຖືກສ້າງຂື້ນໂດຍຜູ້ໃຊ້ linda ແລະເປັນຂອງກຸ່ມ linda. ສໍາເລັດ rm -f linda*. ນີ້ຈະລຶບທັງສອງໄຟລ໌.
5. ປະຕິບັດ ແຕະ lisa1 и ແຕະ lisa2ເພື່ອສ້າງສອງໄຟລ໌ທີ່ເປັນເຈົ້າຂອງໂດຍ lisa ຜູ້ໃຊ້.
6. ປະຕິບັດ ສຸ- ເພື່ອຍົກລະດັບສິດທິພິເສດຂອງທ່ານເພື່ອຮາກ.
7. ປະຕິບັດ chmod g+s,o+t /data/salesເພື່ອຕັ້ງຄ່າຕົວລະບຸກຸ່ມ (GUID) ບິດເຊັ່ນດຽວກັນກັບບິດຕິດຢູ່ໃນໄດເລກະທໍລີກຸ່ມທີ່ແບ່ງປັນ.
8. ປະຕິບັດ ສຸລິນດາ. ແລ້ວເຮັດ ແຕະ linda3 и ແຕະ linda4. ໃນປັດຈຸບັນທ່ານຄວນເຫັນວ່າສອງໄຟລ໌ທີ່ທ່ານສ້າງແມ່ນເປັນເຈົ້າຂອງໂດຍກຸ່ມການຂາຍ, ເຊິ່ງເປັນເຈົ້າຂອງກຸ່ມຂອງ /data/sales directory.
9. ປະຕິບັດ rm -rf lisa*. ບິດຫນຽວປ້ອງກັນບໍ່ໃຫ້ໄຟລ໌ເຫຼົ່ານີ້ຖືກລຶບໃນນາມຂອງຜູ້ໃຊ້ linda, ເພາະວ່າທ່ານບໍ່ແມ່ນເຈົ້າຂອງໄຟລ໌ເຫຼົ່ານີ້. ໃຫ້ສັງເກດວ່າຖ້າຜູ້ໃຊ້ linda ເປັນເຈົ້າຂອງໄດເລກະທໍລີ /data/sales, ພວກເຂົາສາມາດລຶບໄຟລ໌ເຫຼົ່ານີ້ໄດ້ຢ່າງໃດກໍ່ຕາມ!

ການຈັດການ ACL (setfacl, getfacl) ໃນ Linux

ເຖິງແມ່ນວ່າການຂະຫຍາຍການອະນຸຍາດທີ່ໄດ້ກ່າວມາຂ້າງເທິງຈະເພີ່ມຫນ້າທີ່ທີ່ເປັນປະໂຫຍດຕໍ່ວິທີທີ່ Linux ຈັດການການອະນຸຍາດ, ມັນບໍ່ໄດ້ອະນຸຍາດໃຫ້ທ່ານໃຫ້ສິດແກ່ຜູ້ໃຊ້ຫຼາຍກວ່າຫນຶ່ງຄົນຫຼືກຸ່ມໃນໄຟລ໌ດຽວກັນ.

ລາຍຊື່ການຄວບຄຸມການເຂົ້າເຖິງສະເຫນີຄຸນສົມບັດນີ້. ນອກຈາກນັ້ນ, ພວກເຂົາເຈົ້າອະນຸຍາດໃຫ້ຜູ້ບໍລິຫານກໍານົດການອະນຸຍາດໃນຕອນຕົ້ນໃນແບບສະລັບສັບຊ້ອນ, ບ່ອນທີ່ການອະນຸຍາດທີ່ກໍານົດໄວ້ອາດຈະແຕກຕ່າງກັນຈາກໄດເລກະທໍລີໄປຫາໄດເລກະທໍລີ.

ຄວາມເຂົ້າໃຈ ACLs

ເຖິງແມ່ນວ່າລະບົບຍ່ອຍ ACL ຈະເພີ່ມການເຮັດວຽກທີ່ຍິ່ງໃຫຍ່ໃຫ້ກັບເຄື່ອງແມ່ຂ່າຍຂອງທ່ານ, ມັນມີຂໍ້ເສຍຫນຶ່ງ: ບໍ່ແມ່ນທຸກໆຜົນປະໂຫຍດສະຫນັບສະຫນູນມັນ. ດັ່ງນັ້ນ, ທ່ານອາດຈະສູນເສຍການຕັ້ງຄ່າ ACL ຂອງທ່ານເມື່ອທ່ານຄັດລອກຫຼືຍ້າຍໄຟລ໌, ແລະຊອບແວສໍາຮອງຂໍ້ມູນຂອງທ່ານອາດຈະບໍ່ສໍາຮອງການຕັ້ງຄ່າ ACL ຂອງທ່ານ.

ຜົນປະໂຫຍດຂອງ tar ບໍ່ສະຫນັບສະຫນູນ ACLs. ເພື່ອໃຫ້ແນ່ໃຈວ່າການຕັ້ງຄ່າ ACL ບໍ່ສູນເສຍເມື່ອທ່ານສ້າງການສໍາຮອງຂໍ້ມູນ, ໃຫ້ໃຊ້ ດາວ ແທນທີ່ຈະເປັນ tar. ດາວ ເຮັດວຽກກັບທາງເລືອກດຽວກັນກັບ tar; ມັນພຽງແຕ່ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຕັ້ງຄ່າ ACL.

ນອກນັ້ນທ່ານຍັງສາມາດສໍາຮອງຂໍ້ມູນ ACLs ກັບ getfacl, ເຊິ່ງສາມາດໄດ້ຮັບການຟື້ນຟູໂດຍໃຊ້ຄໍາສັ່ງ setfacl. ເພື່ອສ້າງ backup, ໃຊ້ getfacl -R /directory > file.acls. ເພື່ອຟື້ນຟູການຕັ້ງຄ່າຈາກໄຟລ໌ສຳຮອງ, ໃຫ້ໃຊ້ setfacl --restore=file.acl.

ການຂາດການສະຫນັບສະຫນູນໂດຍບາງເຄື່ອງມືບໍ່ຄວນຈະເປັນບັນຫາ. ACLs ມັກຈະຖືກນໍາໃຊ້ກັບໄດເລກະທໍລີເປັນມາດຕະການໂຄງສ້າງແທນທີ່ຈະເປັນໄຟລ໌ສ່ວນບຸກຄົນ.
ດັ່ງນັ້ນ, ຈະບໍ່ມີຈໍານວນຫຼາຍຂອງພວກເຂົາ, ແຕ່ວ່າມີພຽງແຕ່ຈໍານວນຫນ້ອຍ, ນໍາໃຊ້ໃນສະຖານທີ່ smart ໃນລະບົບໄຟລ໌. ດັ່ງນັ້ນ, ການຟື້ນຟູ ACL ຕົ້ນສະບັບທີ່ທ່ານເຮັດວຽກກັບແມ່ນຂ້ອນຂ້າງງ່າຍ, ເຖິງແມ່ນວ່າຊອບແວສໍາຮອງຂໍ້ມູນຂອງທ່ານບໍ່ສະຫນັບສະຫນູນໃຫ້ເຂົາເຈົ້າ.

ການກະກຽມລະບົບໄຟລ໌ສໍາລັບ ACLs

ກ່ອນທີ່ທ່ານຈະເລີ່ມຕົ້ນເຮັດວຽກກັບ ACLs, ທ່ານອາດຈະຈໍາເປັນຕ້ອງໄດ້ກະກຽມລະບົບໄຟລ໌ຂອງທ່ານເພື່ອສະຫນັບສະຫນູນ ACLs. ເນື່ອງຈາກວ່າ metadata ຂອງລະບົບໄຟລ໌ຕ້ອງໄດ້ຮັບການຂະຫຍາຍ, ມັນບໍ່ສະເຫມີສະຫນັບສະຫນູນມາດຕະຖານສໍາລັບ ACLs ໃນລະບົບໄຟລ໌. ຖ້າທ່ານໄດ້ຮັບຂໍ້ຄວາມ "ບໍ່ຮອງຮັບການເຮັດວຽກ" ເມື່ອຕັ້ງຄ່າ ACLs ສໍາລັບລະບົບໄຟລ໌, ລະບົບໄຟລ໌ຂອງທ່ານອາດຈະບໍ່ຮອງຮັບ ACLs.

ເພື່ອແກ້ໄຂນີ້, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມທາງເລືອກ acl mount ໃນ /etc/fstab ເພື່ອໃຫ້ລະບົບໄຟລ໌ຖືກຕິດຕັ້ງດ້ວຍການສະຫນັບສະຫນູນ ACL ໂດຍຄ່າເລີ່ມຕົ້ນ.

ການປ່ຽນແປງແລະເບິ່ງການຕັ້ງຄ່າ ACL ດ້ວຍ setfacl ແລະ getfacl

ເພື່ອກໍານົດ ACL ທ່ານຕ້ອງການຄໍາສັ່ງ setfacl. ເພື່ອເບິ່ງການຕັ້ງຄ່າ ACL ໃນປັດຈຸບັນ, ທ່ານຕ້ອງການ getfacl. ທີມງານ LS -L ບໍ່ສະແດງ ACLs ທີ່ມີຢູ່ແລ້ວ; ມັນພຽງແຕ່ສະແດງໃຫ້ເຫັນ + ຫຼັງຈາກບັນຊີລາຍຊື່ການອະນຸຍາດ, ເຊິ່ງຊີ້ໃຫ້ເຫັນວ່າ ACLs ນໍາໃຊ້ກັບໄຟລ໌ເຊັ່ນດຽວກັນ.

ກ່ອນທີ່ຈະຕັ້ງຄ່າ ACLs, ມັນເປັນຄວາມຄິດທີ່ດີທີ່ຈະສະແດງການຕັ້ງຄ່າ ACL ໃນປັດຈຸບັນ getfacl. ໃນຕົວຢ່າງຂ້າງລຸ່ມນີ້, ທ່ານສາມາດເບິ່ງການອະນຸຍາດໃນປະຈຸບັນ, ດັ່ງທີ່ສະແດງດ້ວຍ LS -L, ແລະຍັງສະແດງໃຫ້ເຫັນກັບ getfacl. ຖ້າທ່ານເບິ່ງຢ່າງໃກ້ຊິດ, ທ່ານຈະເຫັນວ່າຂໍ້ມູນທີ່ສະແດງໃຫ້ເຫັນແມ່ນຄືກັນ.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

ເປັນຜົນມາຈາກການປະຕິບັດຄໍາສັ່ງ getfacl ຂ້າງລຸ່ມນີ້ທ່ານສາມາດເຫັນໄດ້ວ່າການອະນຸຍາດຖືກສະແດງສໍາລັບສາມວັດຖຸທີ່ແຕກຕ່າງກັນ: ຜູ້ໃຊ້, ກຸ່ມແລະອື່ນໆ. ຕອນນີ້ໃຫ້ເພີ່ມ ACL ເພື່ອໃຫ້ສິດການອ່ານແລະດໍາເນີນການກັບກຸ່ມການຂາຍເຊັ່ນກັນ. ຄໍາສັ່ງສໍາລັບການນີ້ setfacl -mg:ການຂາຍ:rx /dir. ໃນທີມນີ້ -m ຊີ້ບອກວ່າການຕັ້ງຄ່າ ACL ໃນປັດຈຸບັນຈໍາເປັນຕ້ອງມີການປ່ຽນແປງ. ຫຼັງ​ຈາກ​ນັ້ນ g:ຂາຍ:rx ບອກຄໍາສັ່ງເພື່ອກໍານົດ read-execute ACL (rx) ສໍາ​ລັບ​ກຸ່ມ (g) ການ​ຂາຍ​. ຂ້າງລຸ່ມນີ້ທ່ານສາມາດເບິ່ງສິ່ງທີ່ຄໍາສັ່ງເບິ່ງຄືວ່າ, ເຊັ່ນດຽວກັນກັບຜົນຜະລິດຂອງຄໍາສັ່ງ getfacl ຫຼັງຈາກການປ່ຽນແປງການຕັ້ງຄ່າ ACL ໃນປັດຈຸບັນ.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

ໃນປັດຈຸບັນທີ່ທ່ານເຂົ້າໃຈວິທີການຕັ້ງກຸ່ມ ACL, ມັນງ່າຍທີ່ຈະເຂົ້າໃຈ ACLs ສໍາລັບຜູ້ໃຊ້ແລະຜູ້ໃຊ້ອື່ນໆ. ສໍາລັບຕົວຢ່າງ, ຄໍາສັ່ງ setfacl -mu:linda:rwx /data ໃຫ້ການອະນຸຍາດແກ່ຜູ້ໃຊ້ linda ໃນ /data directory ໂດຍບໍ່ມີການເຮັດໃຫ້ມັນເປັນເຈົ້າຂອງຫຼືການປ່ຽນແປງການມອບຫມາຍຂອງເຈົ້າຂອງປະຈຸບັນ.

ທີມງານ setfacl ມີ​ຫຼາຍ​ລັກ​ສະ​ນະ​ແລະ​ທາງ​ເລືອກ​. ທາງເລືອກຫນຶ່ງແມ່ນມີຄວາມສໍາຄັນໂດຍສະເພາະ, ພາລາມິເຕີ -R. ຖ້າຖືກນໍາໃຊ້, ທາງເລືອກເຮັດໃຫ້ ACL ກໍານົດສໍາລັບໄຟລ໌ທັງຫມົດແລະ subdirectories ທີ່ມີຢູ່ໃນໄດເລກະທໍລີທີ່ທ່ານຕັ້ງ ACL. ມັນແນະນໍາໃຫ້ທ່ານໃຊ້ຕົວເລືອກນີ້ຕະຫຼອດເວລາເມື່ອປ່ຽນ ACLs ສໍາລັບໄດເລກະທໍລີທີ່ມີຢູ່.

ເຮັດວຽກກັບ ACLs ເລີ່ມຕົ້ນ

ຫນຶ່ງໃນຜົນປະໂຫຍດຂອງການນໍາໃຊ້ ACLs ແມ່ນວ່າທ່ານສາມາດອະນຸຍາດໃຫ້ຜູ້ໃຊ້ຫຼາຍຫຼືກຸ່ມໃນໄດເລກະທໍລີ. ຜົນປະໂຫຍດອີກຢ່າງຫນຶ່ງແມ່ນວ່າທ່ານສາມາດເປີດໃຊ້ການສືບທອດໂດຍການເຮັດວຽກກັບ ACLs ເລີ່ມຕົ້ນ.

ໂດຍການຕັ້ງຄ່າ ACL ເລີ່ມຕົ້ນ, ທ່ານກໍານົດການອະນຸຍາດທີ່ຈະຖືກກໍານົດສໍາລັບລາຍການໃຫມ່ທັງຫມົດທີ່ສ້າງຢູ່ໃນໄດເລກະທໍລີ. ຈົ່ງຈື່ໄວ້ວ່າ ACL ເລີ່ມຕົ້ນບໍ່ປ່ຽນແປງການອະນຸຍາດໃນໄຟລ໌ທີ່ມີຢູ່ ແລະໄດເລກະທໍລີຍ່ອຍ. ເພື່ອປ່ຽນພວກມັນ, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມ ACL ປົກກະຕິເຊັ່ນກັນ!

ນີ້ແມ່ນສິ່ງສໍາຄັນທີ່ຈະຮູ້. ຖ້າທ່ານຕ້ອງການໃຊ້ ACL ເພື່ອກໍານົດຜູ້ໃຊ້ຫຼາຍຄົນຫຼືກຸ່ມເພື່ອເຂົ້າເຖິງໄດເລກະທໍລີດຽວກັນ, ທ່ານຕ້ອງຕັ້ງ ACL ສອງຄັ້ງ. ການນໍາໃຊ້ຄັ້ງທໍາອິດ setfacl -R -mເພື່ອປ່ຽນ ACL ສໍາລັບໄຟລ໌ປະຈຸບັນ. ຫຼັງຈາກນັ້ນ, ການນໍາໃຊ້ setfacl-md:ດູແລອົງປະກອບໃຫມ່ທັງຫມົດທີ່ຈະຖືກສ້າງຂື້ນ.

ເພື່ອກໍານົດ ACL ເລີ່ມຕົ້ນ, ທ່ານພຽງແຕ່ຕ້ອງການເພີ່ມທາງເລືອກ d ຫຼັງ​ຈາກ​ທາງ​ເລືອກ​ -m (ຄໍາ​ສັ່ງ​ສໍາ​ຄັນ​!). ດັ່ງນັ້ນການນໍາໃຊ້ setfacl -md:g:sales:rx /dataຖ້າທ່ານຕ້ອງການໃຫ້ການຂາຍກຸ່ມອ່ານແລະປະຕິບັດອັນໃດກໍ່ຕາມທີ່ເຄີຍສ້າງຢູ່ໃນ /data directory.

ເມື່ອໃຊ້ ACLs ເລີ່ມຕົ້ນ, ມັນອາດຈະເປັນປະໂຫຍດທີ່ຈະຕັ້ງ ACLs ສໍາລັບຄົນອື່ນ. ນີ້ປົກກະຕິແລ້ວບໍ່ມີຄວາມຫມາຍຫຼາຍເພາະວ່າທ່ານຍັງສາມາດປ່ຽນການອະນຸຍາດສໍາລັບຄົນອື່ນນໍາໃຊ້ chmod. ຢ່າງໃດກໍຕາມ, ສິ່ງທີ່ທ່ານບໍ່ສາມາດເຮັດໄດ້ chmod, ແມ່ນເພື່ອກໍານົດສິດທິທີ່ຕ້ອງໄດ້ຮັບການອະນຸຍາດໃຫ້ຜູ້ໃຊ້ອື່ນໆສໍາລັບທຸກໄຟລ໌ໃຫມ່ທີ່ເຄີຍສ້າງ. ຖ້າທ່ານຕ້ອງການປ້ອງກັນບໍ່ໃຫ້ຜູ້ອື່ນໄດ້ຮັບການອະນຸຍາດໃດໆກ່ຽວກັບສິ່ງທີ່ສ້າງຢູ່ໃນ /data ຕົວຢ່າງການນໍາໃຊ້ setfacl -md:o::- /data.

ACLs ແລະການອະນຸຍາດປົກກະຕິແມ່ນບໍ່ປະສົມປະສານໄດ້ດີສະເຫມີ. ບັນຫາສາມາດເກີດຂື້ນໄດ້ຖ້າທ່ານໃຊ້ ACL ເລີ່ມຕົ້ນກັບໄດເລກະທໍລີ, ຫຼັງຈາກນັ້ນລາຍການຈະຖືກເພີ່ມໃສ່ໄດເລກະທໍລີນັ້ນ, ແລະຫຼັງຈາກນັ້ນພະຍາຍາມປ່ຽນການອະນຸຍາດປົກກະຕິ. ການ​ປ່ຽນ​ແປງ​ທີ່​ໃຊ້​ກັບ​ການ​ອະ​ນຸ​ຍາດ​ປົກ​ກະ​ຕິ​ຈະ​ບໍ່​ໄດ້​ຮັບ​ການ​ສະ​ແດງ​ໃຫ້​ເຫັນ​ດີ​ໃນ​ສະ​ພາບ​ລວມ ACL​. ເພື່ອຫຼີກເວັ້ນບັນຫາ, ຕັ້ງຄ່າການອະນຸຍາດປົກກະຕິກ່ອນ, ຫຼັງຈາກນັ້ນໃຫ້ຕັ້ງຄ່າ ACLs ເລີ່ມຕົ້ນ (ແລະພະຍາຍາມບໍ່ປ່ຽນແປງມັນອີກເທື່ອຫນຶ່ງຫຼັງຈາກນັ້ນ).

ຕົວຢ່າງຂອງການຄຸ້ມຄອງສິດທິສູງໂດຍໃຊ້ ACLs

ໃນຕົວຢ່າງນີ້, ທ່ານຈະສືບຕໍ່ກັບ /data/account ແລະ /data/sales directory ທີ່ທ່ານສ້າງກ່ອນຫນ້ານີ້. ໃນຕົວຢ່າງທີ່ຜ່ານມາ, ທ່ານຮັບປະກັນວ່າກຸ່ມການຂາຍມີການອະນຸຍາດ / ຂໍ້ມູນ / ການຂາຍແລະກຸ່ມບັນຊີມີການອະນຸຍາດ / ຂໍ້ມູນ / ບັນຊີ.

ທໍາອິດ, ໃຫ້ແນ່ໃຈວ່າກຸ່ມບັນຊີໄດ້ຮັບການອະນຸຍາດອ່ານຢູ່ໃນໄດເລກະທໍລີ /data/sales ແລະກຸ່ມຂາຍໄດ້ຮັບການອະນຸຍາດອ່ານຢູ່ໃນ /data/ບັນຊີ.

ຈາກນັ້ນທ່ານຕັ້ງ ACLs ເລີ່ມຕົ້ນເພື່ອໃຫ້ແນ່ໃຈວ່າໄຟລ໌ໃຫມ່ທັງຫມົດມີການອະນຸຍາດທີ່ຖືກຕ້ອງສໍາລັບລາຍການໃຫມ່ທັງຫມົດ.

1. ເປີດ terminal.
2. ປະຕິບັດ setfacl -mg:ບັນຊີ:rx /data/sales и setfacl -mg:ການຂາຍ:rx /data/account.
3. ປະຕິບັດ getfaclເພື່ອໃຫ້ແນ່ໃຈວ່າການອະນຸຍາດໄດ້ຖືກກໍານົດຕາມທີ່ທ່ານຕ້ອງການ.
4. ປະຕິບັດ setfacl -md:g:account:rwx,g:sales:rx /data/salesເພື່ອກໍານົດ ACL ເລີ່ມຕົ້ນສໍາລັບໄດເລກະທໍລີການຂາຍ.
5. ເພີ່ມ ACL ເລີ່ມຕົ້ນສໍາລັບໄດເລກະທໍລີ /data/account ໂດຍໃຊ້ setfacl -md:g:sales:rwx,g:account:rx /data/account.
6. ກວດສອບວ່າການຕັ້ງຄ່າ ACL ມີຜົນໂດຍການເພີ່ມໄຟລ໌ໃໝ່ໃສ່ /data/sales. ສໍາເລັດ ແຕະ /data/sales/newfile ແລະເຮັດ getfacl /data/sales/newfile ເພື່ອກວດສອບການອະນຸຍາດໃນປະຈຸບັນ.

ຕັ້ງຄ່າການອະນຸຍາດເລີ່ມຕົ້ນດ້ວຍ umask

ຂ້າງເທິງ, ທ່ານໄດ້ຮຽນຮູ້ວິທີການເຮັດວຽກກັບ ACLs ເລີ່ມຕົ້ນ. ຖ້າທ່ານບໍ່ໄດ້ໃຊ້ ACL, ມີທາງເລືອກ shell ທີ່ກໍານົດການອະນຸຍາດເລີ່ມຕົ້ນທີ່ທ່ານຈະໄດ້ຮັບ: ໜ້າ ກາກ (ຫນ້າກາກປີ້ນກັບກັນ). ໃນ​ພາກ​ນີ້​, ທ່ານ​ຈະ​ໄດ້​ຮຽນ​ຮູ້​ວິ​ທີ​ການ​ປ່ຽນ​ແປງ​ການ​ອະ​ນຸ​ຍາດ​ໃນ​ຕອນ​ຕົ້ນ​ທີ່​ມີ​ ໜ້າ ກາກ.

ທ່ານອາດຈະສັງເກດເຫັນວ່າເມື່ອທ່ານສ້າງໄຟລ໌ໃຫມ່, ບາງສິດອະນຸຍາດເລີ່ມຕົ້ນຖືກຕັ້ງ. ການອະນຸຍາດເຫຼົ່ານີ້ຖືກກໍານົດໂດຍການຕັ້ງຄ່າ ໜ້າ ກາກ. ການຕັ້ງຄ່າ shell ນີ້ນຳໃຊ້ກັບຜູ້ໃຊ້ທັງໝົດທີ່ເຂົ້າສູ່ລະບົບ. ໃນພາລາມິເຕີ ໜ້າ ກາກ ຄ່າຕົວເລກຖືກນໍາໃຊ້, ເຊິ່ງຖືກຫັກອອກຈາກການອະນຸຍາດສູງສຸດທີ່ສາມາດກໍານົດອັດຕະໂນມັດສໍາລັບໄຟລ໌; ການຕັ້ງຄ່າສູງສຸດສໍາລັບໄຟລ໌ແມ່ນ 666 ແລະສໍາລັບໄດເລກະທໍລີແມ່ນ 777.

ຢ່າງໃດກໍຕາມ, ບາງຂໍ້ຍົກເວັ້ນໃຊ້ກັບກົດລະບຽບນີ້. ທ່ານສາມາດຊອກຫາພາບລວມທີ່ສົມບູນຂອງການຕັ້ງຄ່າ ໜ້າ ກາກ ໃນຕາຕະລາງຂ້າງລຸ່ມນີ້.

ຂອງຕົວເລກທີ່ໃຊ້ໃນ ໜ້າ ກາກ, ເຊັ່ນດຽວກັບໃນກໍລະນີຂອງການໂຕ້ຖຽງຕົວເລກສໍາລັບຄໍາສັ່ງ chmod, ຕົວເລກທໍາອິດຫມາຍເຖິງການອະນຸຍາດຂອງຜູ້ໃຊ້, ຕົວເລກທີສອງຫມາຍເຖິງການອະນຸຍາດຂອງກຸ່ມ, ແລະສຸດທ້າຍຫມາຍເຖິງການອະນຸຍາດເລີ່ມຕົ້ນທີ່ກໍານົດສໍາລັບຄົນອື່ນ. ຄວາມຫມາຍ ໜ້າ ກາກ ຄ່າເລີ່ມຕົ້ນ 022 ໃຫ້ 644 ສໍາລັບໄຟລ໌ໃຫມ່ທັງຫມົດແລະ 755 ສໍາລັບໄດເລກະທໍລີໃຫມ່ທັງຫມົດທີ່ສ້າງຢູ່ໃນເຄື່ອງແມ່ຂ່າຍຂອງທ່ານ.

ພາບລວມຂອງຄ່າຕົວເລກທັງໝົດ ໜ້າ ກາກ ແລະຜົນໄດ້ຮັບຂອງພວກເຂົາຢູ່ໃນຕາຕະລາງຂ້າງລຸ່ມນີ້.

ວິທີທີ່ງ່າຍທີ່ຈະເບິ່ງວ່າການຕັ້ງຄ່າ umask ເຮັດວຽກຄືແນວໃດ: ເລີ່ມຕົ້ນດ້ວຍການອະນຸຍາດເລີ່ມຕົ້ນຂອງໄຟລ໌ທີ່ຕັ້ງເປັນ 666 ແລະລົບ umask ເພື່ອໃຫ້ໄດ້ຮັບການອະນຸຍາດທີ່ມີປະສິດທິພາບ. ເຮັດເຊັ່ນດຽວກັນສໍາລັບໄດເລກະທໍລີແລະການອະນຸຍາດເລີ່ມຕົ້ນຂອງມັນ 777.

ມີສອງວິທີທີ່ຈະປ່ຽນການຕັ້ງຄ່າ umask: ສໍາລັບຜູ້ໃຊ້ທັງຫມົດແລະສໍາລັບຜູ້ໃຊ້ສ່ວນບຸກຄົນ. ຖ້າທ່ານຕ້ອງການກໍານົດ umask ສໍາລັບຜູ້ໃຊ້ທັງຫມົດ, ທ່ານຕ້ອງຮັບປະກັນວ່າການຕັ້ງຄ່າ umask ໄດ້ຖືກພິຈາລະນາໃນເວລາທີ່ເລີ່ມຕົ້ນໄຟລ໌ສະພາບແວດລ້ອມຂອງແກະ, ຕາມທີ່ລະບຸໄວ້ໃນ /etc/profile. ວິທີການທີ່ຖືກຕ້ອງແມ່ນການສ້າງ shell script ທີ່ເອີ້ນວ່າ umask.sh ໃນໄດເລກະທໍລີ /etc/profile.d ແລະລະບຸ umask ທີ່ທ່ານຕ້ອງການໃຊ້ໃນ shell script ນັ້ນ. ຖ້າ umask ຖືກປ່ຽນແປງໃນໄຟລ໌ນີ້, ມັນຖືກນໍາໃຊ້ກັບຜູ້ໃຊ້ທັງຫມົດຫຼັງຈາກເຂົ້າສູ່ລະບົບເຄື່ອງແມ່ຂ່າຍ.

ທາງເລືອກໃນການຕັ້ງຄ່າ umask ຜ່ານ /etc/profile ແລະໄຟລ໌ທີ່ກ່ຽວຂ້ອງ, ບ່ອນທີ່ມັນໃຊ້ກັບຜູ້ໃຊ້ທັງຫມົດທີ່ເຂົ້າສູ່ລະບົບ, ແມ່ນການປ່ຽນການຕັ້ງຄ່າ umask ໃນໄຟລ໌ທີ່ເອີ້ນວ່າ .profile ທີ່ຖືກສ້າງຂື້ນຢູ່ໃນໄດເລກະທໍລີຫນ້າທໍາອິດຂອງຜູ້ໃຊ້ແຕ່ລະຄົນ.

ການຕັ້ງຄ່າທີ່ໃຊ້ໃນໄຟລ໌ນີ້ໃຊ້ກັບຜູ້ໃຊ້ແຕ່ລະຄົນເທົ່ານັ້ນ; ເພາະສະນັ້ນ, ນີ້ແມ່ນວິທີການທີ່ດີຖ້າທ່ານຕ້ອງການລາຍລະອຽດເພີ່ມເຕີມ. ຂ້າພະເຈົ້າສ່ວນບຸກຄົນມັກຄຸນສົມບັດນີ້ເພື່ອປ່ຽນ umask ເລີ່ມຕົ້ນສໍາລັບຜູ້ໃຊ້ຮາກເປັນ 027 ໃນຂະນະທີ່ຜູ້ໃຊ້ປົກກະຕິກໍາລັງແລ່ນກັບ umask ເລີ່ມຕົ້ນຂອງ 022.

ເຮັດວຽກກັບຄຸນລັກສະນະຜູ້ໃຊ້ທີ່ຂະຫຍາຍ

ນີ້ແມ່ນພາກສ່ວນສຸດທ້າຍກ່ຽວກັບການອະນຸຍາດ Linux.

ເມື່ອເຮັດວຽກກັບການອະນຸຍາດ, ມີຄວາມສໍາພັນລະຫວ່າງຜູ້ໃຊ້ຫຼືວັດຖຸຂອງກຸ່ມແລະການອະນຸຍາດທີ່ຜູ້ໃຊ້ຫຼືກຸ່ມວັດຖຸມີຢູ່ໃນໄຟລ໌ຫຼືໄດເລກະທໍລີ. ວິທີທາງເລືອກເພື່ອປົກປ້ອງໄຟລ໌ໃນເຊີບເວີ Linux ແມ່ນການເຮັດວຽກກັບຄຸນລັກສະນະຕ່າງໆ.
ຄຸນລັກສະນະເຮັດວຽກຂອງພວກເຂົາໂດຍບໍ່ຄໍານຶງເຖິງຜູ້ໃຊ້ເຂົ້າເຖິງໄຟລ໌.

ເຊັ່ນດຽວກັນກັບ ACLs, ຄຸນລັກສະນະຂອງໄຟລ໌ອາດຈະຕ້ອງປະກອບມີທາງເລືອກ mount.

ນີ້ແມ່ນທາງເລືອກ user_xattr. ຖ້າທ່ານໄດ້ຮັບຂໍ້ຄວາມ "ບໍ່ຮອງຮັບການເຮັດວຽກ" ເມື່ອເຮັດວຽກກັບຄຸນລັກສະນະຂອງຜູ້ໃຊ້ທີ່ຂະຫຍາຍ, ໃຫ້ແນ່ໃຈວ່າກໍານົດພາລາມິເຕີ. mount ໃນ /etc/fstab.

ຄຸນ​ລັກ​ສະ​ນະ​ຈໍາ​ນວນ​ຫຼາຍ​ແມ່ນ​ເປັນ​ເອ​ກະ​ສານ​. ຄຸນລັກສະນະບາງຢ່າງມີຢູ່ແຕ່ຍັງບໍ່ທັນໄດ້ປະຕິບັດເທື່ອ. ຢ່າໃຊ້ພວກມັນ; ເຂົາເຈົ້າຈະບໍ່ເອົາຫຍັງມາໃຫ້ເຈົ້າ.

ຂ້າງລຸ່ມນີ້ແມ່ນຄຸນລັກສະນະທີ່ເປັນປະໂຫຍດທີ່ສຸດທີ່ທ່ານສາມາດສະຫມັກໄດ້:

A ຄຸນລັກສະນະນີ້ຮັບປະກັນວ່າເວລາເຂົ້າເຖິງໄຟລ໌ຂອງໄຟລ໌ບໍ່ປ່ຽນແປງ.
ໂດຍປົກກະຕິ, ແຕ່ລະຄັ້ງເປີດໄຟລ໌, ເວລາເຂົ້າເຖິງຂອງໄຟລ໌ຕ້ອງໄດ້ຮັບການບັນທຶກໄວ້ໃນ metadata ຂອງໄຟລ໌. ນີ້ມີຜົນກະທົບທາງລົບຕໍ່ການປະຕິບັດ; ດັ່ງນັ້ນສໍາລັບໄຟລ໌ທີ່ເຂົ້າເຖິງເປັນປົກກະຕິ, ຄຸນລັກສະນະ A ສາມາດໃຊ້ເພື່ອປິດຄຸນສົມບັດນີ້ໄດ້.

a ຄຸນ​ລັກ​ສະ​ນະ​ນີ້​ອະ​ນຸ​ຍາດ​ໃຫ້​ທ່ານ​ທີ່​ຈະ​ເພີ່ມ​ແຕ່​ບໍ່​ເອົາ​ໄຟລ​໌​.

c ຖ້າທ່ານກໍາລັງໃຊ້ລະບົບໄຟລ໌ທີ່ສະຫນັບສະຫນູນການບີບອັດລະດັບສຽງ, ຄຸນລັກສະນະຂອງໄຟລ໌ນີ້ຮັບປະກັນວ່າໄຟລ໌ຖືກບີບອັດເມື່ອເຄື່ອງຈັກບີບອັດຖືກເປີດໃຊ້ຄັ້ງທໍາອິດ.

D ຄຸນ​ລັກ​ສະ​ນະ​ນີ້​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​ການ​ປ່ຽນ​ແປງ​ໄຟລ​໌​ໄດ້​ຖືກ​ຂຽນ​ໃສ່​ແຜ່ນ​ໃນ​ທັນ​ທີ​ແທນ​ທີ່​ຈະ​ເກັບ​ໄວ້​ກ່ອນ​. ນີ້ແມ່ນຄຸນລັກສະນະທີ່ເປັນປະໂຫຍດກ່ຽວກັບໄຟລ໌ຖານຂໍ້ມູນທີ່ສໍາຄັນເພື່ອໃຫ້ແນ່ໃຈວ່າພວກເຂົາບໍ່ໄດ້ສູນເສຍລະຫວ່າງແຄດໄຟລ໌ແລະຮາດດິດ.

d ຄຸນ​ລັກ​ສະ​ນະ​ນີ້​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​ໄຟລ​໌​ຈະ​ບໍ່​ໄດ້​ຮັບ​ການ​ບັນ​ທຶກ​ໄວ້​ໃນ​ການ​ສໍາ​ຮອງ​ຂໍ້​ມູນ​ທີ່ dump utility ໄດ້​ຖືກ​ນໍາ​ໃຊ້​.

I ຄຸນລັກສະນະນີ້ເຮັດໃຫ້ການສ້າງດັດສະນີສໍາລັບໄດເລກະທໍລີທີ່ມັນຖືກເປີດໃຊ້. ນີ້ສະຫນອງການເຂົ້າເຖິງໄຟລ໌ໄວຂຶ້ນສໍາລັບລະບົບໄຟລ໌ເບື້ອງຕົ້ນເຊັ່ນ Ext3 ທີ່ບໍ່ໃຊ້ຖານຂໍ້ມູນ B-tree ສໍາລັບການເຂົ້າເຖິງໄຟລ໌ໄວ.

i ຄຸນລັກສະນະນີ້ເຮັດໃຫ້ໄຟລ໌ບໍ່ສາມາດປ່ຽນແປງໄດ້. ດັ່ງນັ້ນ, ບໍ່ສາມາດປ່ຽນແປງໄຟລ໌ໄດ້, ເຊິ່ງເປັນປະໂຫຍດສໍາລັບໄຟລ໌ທີ່ຕ້ອງການການປົກປ້ອງເພີ່ມເຕີມ.

j ຄຸນ​ລັກ​ສະ​ນະ​ນີ້​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​, ໃນ​ລະ​ບົບ​ໄຟລ​໌ ext3​, ໄຟລ​໌​ຄັ້ງ​ທໍາ​ອິດ​ໄດ້​ຖືກ​ລາຍ​ລັກ​ອັກ​ສອນ​ໃນ​ວາ​ລະ​ສານ​ແລະ​ຫຼັງ​ຈາກ​ນັ້ນ​ການ​ຕັນ​ຂໍ້​ມູນ​ໃນ​ຮາດ​ດິດ​.

s ຂຽນທັບບລັອກທີ່ໄຟລ໌ຖືກບັນທຶກເປັນ 0s ຫຼັງຈາກລຶບໄຟລ໌. ນີ້ຮັບປະກັນວ່າໄຟລ໌ບໍ່ສາມາດຖືກຟື້ນຟູຄືນມາໄດ້ເມື່ອມັນຖືກລຶບແລ້ວ.

u ຄຸນລັກສະນະນີ້ເກັບຮັກສາຂໍ້ມູນກ່ຽວກັບການລຶບ. ນີ້ອະນຸຍາດໃຫ້ທ່ານເພື່ອພັດທະນາຜົນປະໂຫຍດທີ່ເຮັດວຽກກັບຂໍ້ມູນນີ້ເພື່ອກູ້ໄຟລ໌ທີ່ຖືກລົບ.

ຖ້າທ່ານຕ້ອງການນໍາໃຊ້ຄຸນລັກສະນະ, ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງ ສົນທະນາ. ສໍາລັບຕົວຢ່າງ, ການນໍາໃຊ້ chattr +s ບາງໄຟລ໌ເພື່ອນຳໃຊ້ຄຸນສົມບັດກັບບາງໄຟລ໌. ຕ້ອງການເອົາຄຸນສົມບັດອອກບໍ? ຫຼັງຈາກນັ້ນ, ການນໍາໃຊ້ chattr -s somefileແລະມັນຈະຖືກລຶບອອກ. ເພື່ອໃຫ້ໄດ້ພາບລວມຂອງຄຸນລັກສະນະທັງຫມົດທີ່ຖືກນໍາໃຊ້ໃນປັດຈຸບັນ, ໃຫ້ໃຊ້ຄໍາສັ່ງ lsattr.

Summary

ໃນບົດຄວາມນີ້, ທ່ານໄດ້ຮຽນຮູ້ວິທີການເຮັດວຽກກັບການອະນຸຍາດ. ທ່ານໄດ້ອ່ານກ່ຽວກັບສາມສິດພື້ນຖານ, ການອະນຸຍາດຂັ້ນສູງ, ແລະວິທີການນໍາໃຊ້ ACLs ໃນລະບົບໄຟລ໌. ນອກນັ້ນທ່ານຍັງໄດ້ຮຽນຮູ້ວິທີການນໍາໃຊ້ທາງເລືອກ umask ເພື່ອນໍາໃຊ້ການອະນຸຍາດເລີ່ມຕົ້ນ. ໃນ​ຕອນ​ທ້າຍ​ຂອງ​ບົດ​ຄວາມ​ນີ້​, ທ່ານ​ໄດ້​ຮຽນ​ຮູ້​ວິ​ທີ​ການ​ນໍາ​ໃຊ້​ຄຸນ​ລັກ​ສະ​ນະ​ການ​ຂະ​ຫຍາຍ​ຜູ້​ໃຊ້​ເພື່ອ​ນໍາ​ໃຊ້​ຊັ້ນ​ເພີ່ມ​ເຕີມ​ຂອງ​ຄວາມ​ປອດ​ໄພ​ຂອງ​ລະ​ບົບ​ໄຟລ​໌​.

ຖ້າທ່ານມັກການແປພາສານີ້, ກະລຸນາຂຽນກ່ຽວກັບມັນຢູ່ໃນຄໍາເຫັນ. ຈະມີແຮງຈູງໃຈຫຼາຍຂຶ້ນເພື່ອເຮັດໃຫ້ການແປທີ່ເປັນປະໂຫຍດ.

ແກ້ໄຂບາງ typos ແລະ grammatical errors ໃນບົດຄວາມ. ຫຼຸດບາງວັກທີ່ໃຫຍ່ລົງເປັນຫຍໍ້ໜ້ານ້ອຍລົງເພື່ອໃຫ້ສາມາດອ່ານໄດ້ດີຂຶ້ນ.

ແທນທີ່ "ສະເພາະຄົນທີ່ມີສິດທິບໍລິຫານກັບໄດເລກະທໍລີສາມາດນຳໃຊ້ການອະນຸຍາດປະຕິບັດໄດ້." ຖືກແກ້ໄຂເປັນ "ພຽງແຕ່ຄົນທີ່ມີການອະນຸຍາດການຂຽນຢູ່ໃນໄດເລກະທໍລີສາມາດສະຫມັກຂໍອະນຸຍາດປະຕິບັດໄດ້.", ເຊິ່ງຈະຖືກຕ້ອງກວ່າ.

ຂອບໃຈສຳລັບຄຳເຫັນ ເບເຣສ.

ແທນທີ່:
ຖ້າທ່ານບໍ່ແມ່ນເຈົ້າຂອງຜູ້ໃຊ້, shell ຈະກວດເບິ່ງວ່າທ່ານເປັນສະມາຊິກຂອງກຸ່ມ, ເຊິ່ງເອີ້ນກັນວ່າກຸ່ມຂອງໄຟລ໌.

ໃນ:
ຖ້າທ່ານບໍ່ແມ່ນເຈົ້າຂອງໄຟລ໌, shell ຈະກວດເບິ່ງວ່າທ່ານເປັນສະມາຊິກຂອງກຸ່ມທີ່ມີການອະນຸຍາດໃນໄຟລ໌ຫຼືບໍ່. ຖ້າທ່ານເປັນສະມາຊິກຂອງກຸ່ມນີ້, ທ່ານຈະເຂົ້າເຖິງໄຟລ໌ດ້ວຍການອະນຸຍາດທີ່ກຸ່ມໄດ້ກໍານົດ, ແລະ shell ຈະຢຸດການກວດສອບ.

ຂອບໃຈສຳລັບຄຳເຫັນຂອງເຈົ້າ CryptoPirate

ແຫຼ່ງຂໍ້ມູນ: www.habr.com