Дозволи во Linux (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

Здраво на сите. Ова е превод на статија од книгата RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 и EX300.

Притисни: Се надевам дека статијата ќе биде корисна не само за почетници, туку и ќе им помогне на поискусните администратори да го организираат своето знаење.

Ајде да одиме

За пристап до датотеки во Linux, се користат дозволи. Овие дозволи се доделуваат на три објекти: сопственикот на датотеката, сопственикот на групата и друг објект (т.е. сите останати). Оваа статија ќе ве научи како да примените дозволи.

Статијата започнува со преглед на основните концепти, а потоа дискутира за специјални дозволи и списоци за контрола на пристап (ACL). Крајот на оваа статија опфаќа поставување стандардни дозволи преку umask, како и управување со проширени кориснички атрибути.

Управување со сопственоста на датотеки

Пред да разговарате за дозволите, треба да бидете свесни за улогата на сопственикот на датотеката и директориумот. Сопственоста на датотеки и директориуми е од витално значење за работа со дозволи. Во овој дел, прво ќе научите како можете да го видите сопственикот. Потоа ќе научите како да го промените сопственикот и корисникот на групата за датотеки и директориуми.

Прикажување на сопственикот на датотека или директориум

Во Linux, секоја датотека и секој директориум има два сопственици: корисник и сопственик на група.

Овие сопственици се поставуваат кога се креира датотеката или директориумот. Корисникот кој ја создава датотеката станува сопственик на оваа датотека, а примарната група на која припаѓа истиот корисник исто така станува сопственик на оваа датотека. За да одреди дали вие како корисник имате права на пристап до датотека или директориум, школката ја проверува сопственоста.

Ова се случува по следниот редослед:

1. Школката проверува дали сте сопственик на датотеката до која сакате да пристапите. Ако сте тој сопственик, ви се доделуваат дозволи и школката престанува да проверува.
2. Ако не сте сопственик на датотеката, школката ќе провери дали сте член на група која има дозволи за датотеката. Ако сте член на оваа група, ќе пристапите до датотеката со дозволите што се поставени за групата, а школката ќе престане да проверува.
3. Ако не сте ниту корисник ниту сопственик на група, добивате други кориснички права.

За да ги видите тековните задачи на сопственикот, можете да ја користите командата остави го. Оваа команда ги прикажува корисникот и сопственикот на групата. Подолу можете да ги видите поставките на сопственикот за директориумите под директориумот /home.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

Со командата ls можете да го прикажете сопственикот на датотеките во даден директориум. Понекогаш може да биде корисно да се добие список на сите датотеки на системот што имаат даден корисник или група како сопственик. За ова можете да користите најдете. Аргумент најдете -корисник може да се користи за оваа намена. На пример, следнава команда ги прикажува сите датотеки што имаат линда како сопственик:

find / -user linda

Можете исто така да користите најдете да пребарувате датотеки што имаат одредена група како нивен сопственик.

На пример, следнава команда ги бара сите датотеки што припаѓаат на група корисници:

find / -group users

Промена на сопственикот

За да ги примените соодветните дозволи, првото нешто што треба да се земе предвид е сопственоста. Постои команда за ова засаден. Синтаксата на оваа команда е лесна за разбирање:

chown кто что

На пример, следнава команда го менува сопственикот на директориумот /home/account во корисничката linda:

chown linda /home/account

Тим засаден има неколку опции, од кои едната е особено корисна: -R. Можете да погодите што прави бидејќи оваа опција е достапна и за многу други команди. Ова ви овозможува да го поставите сопственикот рекурзивно, што ви овозможува да го поставите сопственикот на тековниот директориум и сè што е под него. Следната команда го менува сопственикот на директориумот /home и сè што е под него во корисничката linda:

Сега сопствениците изгледаат вака:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Ајде:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

Сега корисникот Лиза е сопственик на директориумот на сметките:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

Променете го сопственикот на групата

Постојат два начина за промена на сопственоста на групата. Можете да го направите ова користејќи засаден, но има специјална команда наречена чгрп, кој ја врши оваа работа. Ако сакате да ја користите командата засаден, употреба . или : пред името на групата.

Следната команда го менува секој сопственик на групата /home/account во групата на сметки:

chown .account /home/account

можеш да користиш засаден да го смените сопственикот на корисникот и/или групата на неколку начини. Еве неколку примери:

• чаун лиза myfile1 ја поставува корисничката lisa како сопственик на датотеката myfile1.
• чаун лиза.продажна myfile го поставува корисникот lisa како сопственик на датотеката myfile, а исто така ја поставува продажната група како сопственик на истата датотека.
• Чоун Лиза:продажна мојата датотека исто како и претходниот тим.
• chown .продажба myfile Ја поставува продажната група да биде сопственик на myfile без да го менува сопственикот на корисникот.
• chown :sales myfile исто како и претходниот тим.

Можете да ја користите командата чгрпда го смените сопственикот на групата. Размислете за следниот пример каде што можете да го користите чгрп Поставете го сопственикот на директориумот на сметката во продажната група:

chgrp .sales /home/account

Како и со засаден, можете да ја користите опцијата -R с чгрп, а исто така рекурзивно менувајте го сопственикот на групата.

Стандардно разбирање на сопственикот

Можеби сте забележале дека кога корисникот создава датотека, се применува стандардната сопственост.
Корисникот кој креира датотека автоматски станува сопственик на таа датотека, а примарната група на тој корисник автоматски станува сопственик на таа датотека. Обично ова е групата што е наведена во датотеката /etc/passwd како примарна група на корисникот. Меѓутоа, ако корисникот е член на повеќе групи, тој може да ја смени ефективната примарна група.

За да се прикаже моменталната ефективна примарна група, корисникот може да ја користи командата групи:

[root@server1 ~]# groups lisa
lisa : lisa account sales

Ако тековниот корисник Linda сака да ја промени ефективната примарна група, тој ќе ја користи командата новогрппроследено со името на групата што сака да ја постави како нова ефективна примарна група. По користењето на командата новогрп примарната група ќе биде активна додека корисникот не ја внесе командата излезете или нема да се одјави од системот.

Еве како корисникот Linda ја користи оваа команда, при што примарна група е продажбата:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

По промената на тековната примарна група, сите нови датотеки создадени од корисникот ќе ја имаат таа група како сопственик на групата. За да се вратите на оригиналната поставка за примарна група, користете излезете.

За да може да се користи командата новогрп, корисникот мора да биде член на групата што сака да ја користи како примарна. Дополнително, групна лозинка може да се користи за група користејќи ја командата gpasswd. Доколку корисникот ја користи командата новогрпно не е член на целната група, школката бара лозинка за групата. Откако ќе ја внесете точната лозинка на групата, ќе се постави нова ефективна примарна група.

Управување со основните права

Системот за дозволи Линукс беше измислен во 1970-тите. Бидејќи потребите за компјутери беа ограничени во тие години, основниот систем за дозволи беше доста ограничен. Овој систем за дозволи користи три дозволи кои можат да се применат на датотеки и директориуми. Во овој дел, ќе научите како да ги користите и менувате овие дозволи.

Разбирање на дозволите за читање, пишување и извршување

Трите главни дозволи ви дозволуваат да читате, пишувате и извршувате датотеки. Ефектот на овие дозволи се разликува кога се применува на датотеки или директориуми. Кога се применува на датотека, дозволата за читање ви дава право да ја отворите датотеката за читање. Затоа, можете да ја прочитате неговата содржина, но тоа значи дека вашиот компјутер може да ја отвори датотеката за да направи нешто со неа.

Програмската датотека која бара пристап до библиотека мора, на пример, да има пристап за читање до таа библиотека. Ова значи дека дозволата за читање е најосновната дозвола што ви е потребна за работа со датотеки.

Кога се применува на директориумот, читањето ви овозможува да ја прикажете содржината на тој директориум. Треба да знаете дека оваа дозвола не ви дозволува да читате датотеки во директориумот. Системот за дозволи на Linux не познава наследство и единствениот начин да се прочита датотека е да се користат дозволи за читање на таа датотека.

Како што веројатно може да претпоставите, дозволата за пишување, кога се применува на датотека, дозволува пишување во датотеката. Со други зборови, ви овозможува да ја промените содржината на постоечките датотеки. Сепак, не ви дозволува да креирате или бришете нови датотеки или да ги менувате дозволите за датотеки. За да го направите ова, треба да дадете дозвола за пишување во директориумот каде што сакате да ја креирате датотеката. Во директориумите, оваа дозвола исто така ви овозможува да креирате и бришете нови поддиректориуми.

Дозволата за извршување е она што ви треба за да ја извршите датотеката. Никогаш нема да се инсталира стандардно, што го прави Linux речиси целосно имун на вируси. Само некој со пристап за запишување до директориумот може да примени дозвола за извршување.

Следното ја сумира употребата на основните дозволи:

Користење на chmod

За да управувате со правата, користете ја командата chmod. Користење на chmod можете да поставите дозволи за корисник, група и друго. Оваа команда можете да ја користите во два режима: релативен режим и апсолутен режим. Во апсолутен режим, три цифри се користат за поставување на основни дозволи.

Кога поставувате дозволи, пресметајте ја вредноста што ви треба. Ако сакате да поставите читање, пишување и извршување за корисник, читање и извршување за група и читање и извршување за други во /somefile, тогаш ја користите следнава команда chmod:

chmod 755 /somefile

Кога користите chmod На овој начин, сите тековни дозволи се заменуваат со дозволите што сте ги поставиле.

Ако сакате да ги промените дозволите во однос на тековните дозволи, можете да ги користите chmod во релативен режим. Користење на chmod во релативен режим работите со три индикатори за да покажете што сакате да правите:

1. Прво наведете за кого сакате да ги менувате дозволите. За да го направите ова, можете да изберете помеѓу корисник (u), група (g) и други (o).
2. Потоа ја користите изјавата за да додадете или отстраните дозволи од тековниот режим или да ги поставите апсолутно.
3. На крајот користите r, w и xза да одредите кои дозволи сакате да ги поставите.

Кога ги менувате дозволите во релативен режим, можете да го прескокнете делот „до“ за да додадете или отстраните дозвола за сите објекти. На пример, оваа команда додава дозвола за извршување за сите корисници:

chmod +x somefile

Кога работите во релативен режим, можете да користите и посложени команди. На пример, оваа команда додава дозвола за пишување на група и ја отстранува дозволата за читање за други:

chmod g+w,o-r somefile

Кога го користите chmod -R o+rx /податоци поставувате дозвола за извршување за сите директориуми, како и за датотеките во директориумот /data. За да поставите дозвола за извршување само на директориуми, а не на датотеки, користете chmod -R o+ rX /податоци.

Големата буква X гарантира дека датотеките нема да добијат дозвола за извршување освен ако датотеката веќе поставила дозвола за извршување на некои објекти. Ова го прави X попаметен начин за справување со дозволите за извршување; ова ќе избегне поставување на оваа дозвола на датотеки каде што не е потребна.

Проширени права

Покрај основните дозволи за кои штотуку прочитавте, Linux има и сет на напредни дозволи. Ова не се дозволите што сте ги поставиле стандардно, но понекогаш тие даваат корисен додаток. Во овој дел ќе научите што се тие и како да ги поставите.

Разбирање на SUID, GUID и продолжените права со леплив бит

Постојат три напредни резолуции. Првата е дозволата Set User ID (SUID). Во некои посебни случаи, можеби ќе сакате да ја примените оваа дозвола на извршни датотеки. Стандардно, корисникот што ја извршува извршната датотека ја извршува таа датотека со свои дозволи.

За редовните корисници, ова обично значи дека употребата на програмата е ограничена. Меѓутоа, во некои случаи, корисникот бара посебни дозволи само за извршување на одредена задача.

Размислете, на пример, ситуација кога корисникот треба да ја промени својата лозинка. За да го направите ова, корисникот мора да ја напише својата нова лозинка во датотеката /etc/shadow. Сепак, оваа датотека не може да се запише од корисници кои не се root:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

Дозволата SUID нуди решение за овој проблем. Во алатката /usr/bin/passwd, оваа дозвола се применува стандардно. Ова значи дека при промена на лозинката, корисникот привремено добива root права, што му овозможува да пишува во датотеката /etc/shadow. Можете да ја видите дозволата SUID со остави го како s во позиција каде што нормално би очекувале да видите x за сопствени дозволи:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

Дозволата за SUID може да изгледа корисна (а во некои случаи е), но исто така е потенцијално опасна. Ако се користи неправилно, може случајно да ги дадете дозволите за root. Затоа, препорачувам да го користите само со голема претпазливост.

Повеќето администратори никогаш нема да треба да го користат; ќе го видите само во некои датотеки каде што оперативниот систем треба стандардно да го постави.

Втората специјална дозвола е Group ID (SGID). Оваа дозвола има два ефекти. Кога се применува на извршна датотека, му дава на корисникот кој ја извршува датотеката дозволите на сопственикот на групата на таа датотека. Значи, SGID може да го направи горе-долу истото како SUID. Сепак, SGID речиси и не се користи за оваа намена.

Како и со дозволата за SUID, SGID се применува на некои системски датотеки како стандардна поставка.

Кога се применува на директориум, SGID може да биде корисен затоа што можете да го користите за да го поставите стандардниот сопственик на групата за датотеките и поддиректориумите создадени во тој директориум. Стандардно, кога корисникот создава датотека, неговата ефективна примарна група се поставува како сопственик на групата за таа датотека.

Ова не е секогаш многу корисно, особено затоа што на корисниците на Red Hat/CentOS нивната примарна група е поставена на група со исто име како и корисникот, а во која корисникот е единствениот член. Така, стандардно, датотеките што ги создава корисникот ќе бидат групно споделени.

Замислете ситуација кога корисниците Линда и Лори работат во сметководството и се членови на група Сметка. Стандардно, овие корисници се членови на приватна група од која тие се единствениот член. Сепак, и двајцата корисници се членови на групата на сметки, но и како секундарен групен параметар.

Стандардната ситуација е дека кога некој од овие корисници креира датотека, примарната група станува сопственик. Затоа, стандардно, Linda не може да пристапи до датотеките создадени од lori, и обратно. Меѓутоа, ако креирате споделен групен директориум (да речеме /групи/сметка) и осигурите дека дозволата SGID е применета на тој директориум и дека групната сметка е поставена на Group Owner за тој директориум, сите датотеки создадени во тој директориум и сите негови поддиректориуми, исто така, добијте ја групната сметка како стандарден сопственик на групата.

Поради оваа причина, дозволата SGID е многу корисна дозвола за инсталирање на директориуми на јавни групи.

Дозволата SGID е прикажана на излезот остави го како s на позицијата каде што вообичаено би ја наоѓале дозволата за групно извршување:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

Третата од специјалните дозволи е леплива малку. Оваа дозвола е корисна за заштита на датотеките од случајно бришење во средина каде што повеќе корисници имаат пристап за пишување до истиот директориум. Ако се користи лепливиот бит, корисникот може да избрише датотека само ако е корисник сопственик на датотеката или директориумот што ја содржи датотеката. Поради оваа причина, таа е стандардна дозвола за директориумот /tmp и може да биде корисна и за директориуми со јавни групи.

Без леплив бит, ако корисникот може да креира датотеки во директориумот, може да ги избрише и датотеките од тој директориум. Во јавна групна средина ова може да биде досадно. Замислете ги корисниците Линда и Лори, кои и двете имаат дозволи за пишување во директориумот /data/account и ги добиваат овие дозволи преку членство во групата на сметки. Затоа, Linda може да ги избрише датотеките создадени од lori, и обратно.

Кога применувате леплив бит, корисникот може да брише датотеки само ако е точно еден од следниве услови:

• Корисникот е сопственик на датотеката;
• Корисникот е сопственик на директориумот во кој се наоѓа датотеката.

Кога го користите остави го, можете да видите леплива малку како t во позиција каде што обично ја гледате дозволата за извршување на другите:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

Примена на проширени права

За да примените SUID, SGID и леплив бит, исто така можете да ги користите chmod. SUID има нумеричка вредност 4, SGID има нумеричка вредност 2, а лепливиот бит има нумеричка вредност 1.

Ако сакате да ги примените овие дозволи, треба да додадете аргумент со четири знаци chmod, чија прва цифра се однесува на посебни дозволи. Следната линија, на пример, ќе додаде SGID дозвола во директориумот и ќе постави rwx за корисник и rx за група и други:

chmod 2755 /somedir

Ова е сосема непрактично ако треба да ги видите тековните дозволи што се поставени пред да работите chmod во апсолутен режим. (Ризикувате да ги препишете дозволите ако не го направите ова.) Затоа препорачувам да работите во релативен режим ако треба да примените некоја од специјалните дозволи:

1. За употреба SUID chmod u+s.
2. За употреба на SGID chmod g+s.
3. За употреба на лепливи битови chmod +tпроследено со името на датотеката или директориумот за кој сакате да поставите дозволи.

Табелата резимира сè што треба да знаете за управување со специјални дозволи.

Пример за работа со посебни права

Во овој пример, користите специјални дозволи за да им олесните на членовите на групата да споделуваат датотеки во споделениот директориум на групата. Го доделувате ID-битот на поставената група ID, како и лепливиот бит, и гледате дека откако ќе се постават, се додаваат функции за да им се олесни на членовите на групата да работат заедно.

1. Отворете терминал каде што сте корисникот Linda. Можете да креирате корисник со командата Линда, додадете лозинка passwd Линда.
2. Направете директориум /data во root и поддиректориум /data/sales со командата mkdir -p /податоци/продажби. Изврши cd /податоци/продажбиза да отидете во директориумот за продажба. Изврши допрете ја Линда1 и допрете ја Линда2да креирате две празни датотеки во сопственост на Linda.
3. Изврши су-лиса за да го префрлите тековниот корисник на корисник lisa, кој исто така е член на продажната група.
4. Изврши cd /податоци/продажби и од овој директориум стартувајте остави го. Ќе видите две датотеки што се создадени од корисникот linda и припаѓаат на групата linda. Изврши rm -f Линда *. Ова ќе ги избрише двете датотеки.
5. Изврши допрете лиза1 и допрете лиза2да креирате две датотеки кои се во сопственост на корисникот lisa.
6. Изврши су - да ги зголемите вашите привилегии за root.
7. Изврши chmod g+s,o+t /податоци/продажбида го поставите битот за идентификатор на групата (GUID) како и лепливиот бит во споделениот директориум на групата.
8. Изврши су-линда. Потоа направи допрете ја Линда3 и допрете ја Линда4. Сега треба да видите дека двете датотеки што ги создадовте се во сопственост на продажната група, која е сопственик на групата на директориумот /data/sales.
9. Изврши rm -rf лиза *. Sticky bit го спречува бришењето на овие датотеки како корисничка линда бидејќи вие не сте сопственик на овие датотеки. Забележете дека ако корисникот Линда е сопственик на директориумот /data/sales, тој може да ги избрише овие датотеки во секој случај!

Управување со ACL (setfacl, getfacl) во Linux

Иако напредните дозволи дискутирани погоре додаваат корисна функционалност на начинот на кој Linux се справува со дозволите, тој не ви дозволува да давате дозволи на повеќе од еден корисник или една група на една датотека.

Списоците за контрола на пристап ја нудат оваа функционалност. Тие, исто така, им дозволуваат на администраторите да поставуваат стандардни дозволи на комплексен начин каде што поставените дозволи може да се разликуваат помеѓу директориумите.

Разбирање на ACLs

Иако потсистемот ACL додава одлична функционалност на вашиот сервер, тој има еден недостаток: не го поддржуваат сите комунални услуги. Затоа, може да ги изгубите поставките за ACL кога копирате или преместувате датотеки, а софтверот за резервна копија може да не прави резервни копии на поставките за ACL.

Алатката за катран не поддржува ACL. За да се осигурате дека поставките за ACL не се изгубени при креирање резервна копија, користете ѕвезда наместо катран. ѕвезда работи со истите параметри како катран; едноставно додава поддршка за ACL поставките.

Можете исто така да направите резервна копија на ACL користејќи добивање, кој може да се врати со помош на командата setfacl. За да креирате резервна копија, користете getfacl -R /директориум > датотека.acls. За да ги вратите поставките од резервна датотека, користете setfacl --restore=file.acl.

Недостатокот на поддршка за некои алатки не треба да биде проблем. ACL често се применуваат на директориуми како структурна мерка отколку на поединечни датотеки.
Затоа, нема да има многу од нив, туку само неколку, применети на паметни места во датотечниот систем. Затоа, релативно е лесно да ги вратите оригиналните ACL со кои сте работеле, дури и ако вашиот софтвер за резервна копија не ги поддржува.

Подготовка на датотечен систем за ACL

Пред да започнете да работите со ACL, можеби ќе треба да го подготвите вашиот датотечен систем да поддржува ACL. Бидејќи метаподатоците на датотечниот систем треба да се прошират, не секогаш постои стандардна поддршка за ACL на датотечниот систем. Ако при конфигурирање на ACL за датотечен систем примените порака „Операцијата не е поддржана“, вашиот датотечен систем може да не поддржува ACL.

За да го поправите ова, треба да ја додадете опцијата acl монтирање во датотеката /etc/fstab така што датотечниот систем стандардно е монтиран со поддршка за ACL.

Промена и прегледување на поставките за ACL користејќи setfacl и getfacl

За да го поставите ACL ви треба командата сетфакл. За да ги видите тековните поставки за ACL што ви требаат добивање. Тим остави го не покажува постоечки ACL; едноставно покажува + по списокот со дозволи, што покажува дека ACL се применуваат и на датотеката.

Пред да ги конфигурирате ACL, секогаш е добра идеја да ги прикажете тековните поставки ACL користејќи ги добивање. Подолу на примерот можете да ги видите тековните дозволи како што е прикажано со остави го, а исто така како што е прикажано со добивање. Ако погледнете доволно внимателно, ќе видите дека прикажаните информации се сосема исти.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

Како резултат на извршување на командата добивање Подолу можете да видите дека дозволите се прикажани за три различни објекти: корисник, група и други. Сега ајде да додадеме ACL за да дадеме дозволи за читање и извршување на продажната група. Командата за ова е setfacl -mg:sales:rx /dir. На овој тим -m покажува дека тековните поставки за ACL треба да се променат. После тоа g:sales:rx ја кажува командата да постави читање и да изврши ACL (rx) за група (g) продажба. Подолу можете да видите како изгледа командата, како и излезот од командата getfacl по промената на тековните поставки за ACL.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

Сега кога разбирате како да поставите групна ACL, лесно е да се разберат ACL за корисниците и другите корисници. На пример, командата setfacl -mu:linda:rwx /податоци Му дава дозволи на корисникот linda во директориумот /data без да го направи сопственик или да ја менува задачата на тековниот сопственик.

Тим сетфакл има многу карактеристики и опции. Една опција е особено важна, параметарот -R. Доколку се користи, опцијата ја прави поставката ACL за сите датотеки и поддиректориуми што моментално постојат во директориумот каде што сте го поставиле ACL. Се препорачува секогаш да ја користите оваа опција кога менувате ACL за постоечки директориуми.

Работа со стандардни ACL

Една од придобивките од користењето на ACL е тоа што можете да дадете дозволи на повеќе корисници или групи во директориумот. Друга придобивка е тоа што можете да овозможите наследување додека работите со стандардниот ACL.

Со поставување на стандарден ACL, ќе ги одредите дозволите што ќе бидат поставени на сите нови ставки создадени во директориумот. Имајте на ум дека стандардниот ACL не ги менува дозволите на постоечките датотеки и поддиректориуми. За да ги промените, треба да додадете и обичен ACL!

Ова е важно да се знае. Ако сакате да користите ACL за да конфигурирате повеќе корисници или групи за пристап до истиот директориум, мора да го поставите ACL двапати. Прва употреба setfacl -R -mза промена на ACL за тековните датотеки. Потоа користете setfacl -md:да се грижи за сите нови елементи кои исто така ќе се создадат.

За да го поставите стандардниот ACL, само треба да ја додадете опцијата d по опција -m (редот е важен!). Затоа користете setfacl -md:g:sales:rx /податоциако сакате групната продажба да чита и да изврши сè што некогаш ќе биде креирано во директориумот /data.

Кога користите стандардни ACL, може да биде корисно и да поставите ACL за други. Обично ова нема многу смисла затоа што можете да ги промените и дозволите за други што користат chmod. Меѓутоа, со што не можете chmod, е да ги специфицирате правата што треба да им се доделат на другите корисници за секоја нова датотека што некогаш е создадена. Ако сакате да ги спречите другите да добијат какви било дозволи за што било создадено во /data, на пример, користете setfacl -md:o::- /податоци.

ACL и редовните дозволи не се секогаш добро интегрирани. Може да се појават проблеми ако примените стандарден ACL на директориумот откако ќе додадете ставки во тој директориум, а потоа се обидете да ги промените нормалните дозволи. Промените што се однесуваат на редовните дозволи нема да се одразат добро во прегледот на ACL. За да избегнете проблеми, прво поставете нормални дозволи, а потоа поставете ги стандардните ACL (и после тоа, обидете се да не ги менувате повторно).

Пример за управување со проширени права со користење на ACL

Во овој пример, ќе продолжите да работите со директориумите /data/account и /data/sales што сте ги создале порано. Во претходните примери, обезбедивте дека продажната група има дозволи за /data/sales, а групата сметки има дозволи за /data/account.

Прво, проверете дали групата на сметки има дозволи за читање во директориумот /data/sales и дека продажната група има дозволи за читање во директориумот /data/account.

Потоа поставувате стандардни ACL за да се осигурате дека сите нови датотеки имаат правилно поставени дозволи за сите нови ставки.

1. Отворете терминал.
2. Изврши setfacl -mg:account:rx /data/sales и setfacl -mg:sales:rx /податоци/сметка.
3. Изврши добивањеза да бидете сигурни дека дозволите се поставени онака како што сакате.
4. Изврши setfacl -md:g:account:rwx,g:sales:rx /data/salesза да го поставите стандардниот ACL за директориумот за продажба.
5. Додајте стандарден ACL за директориумот /data/account користејќи setfacl -md:g:sales:rwx,g:сметка:rx /податоци/сметка.
6. Потврдете дека вашите поставки за ACL се на сила со додавање нова датотека во /data/sales. Изврши допрете /податоци/продажби/нова датотека и изврши getfacl /податоци/продажби/нова датотека да ги проверите тековните дозволи.

Поставување стандардни дозволи користејќи umask

Погоре научивте како да работите со стандардните ACL. Ако не користите ACL, постои опција за школка која ги одредува стандардните дозволи што ќе ги добивате: умаск (обратна маска). Во овој дел, ќе научите како да ги менувате стандардните дозволи користејќи умаск.

Можеби сте забележале дека кога креирате нова датотека, се поставени некои стандардни дозволи. Овие дозволи се одредени со поставката умаск. Оваа поставка за школка се однесува на сите корисници при најавување. Во параметарот умаск се користи нумеричка вредност која се одзема од максималните дозволи што може автоматски да се постават за датотеката; Максималната поставка за датотеки е 666, а за директориуми е 777.

Сепак, некои исклучоци важат за ова правило. Можете да најдете целосен преглед на поставките умаск во табелата подолу.

Од броевите што се користат во умаск, како и кај нумеричките аргументи на командата chmod, првата цифра се однесува на дозволите на корисникот, втората цифра се однесува на дозволите на групата, а последната се однесува на стандардните дозволи поставени за другите. Значење умаск стандардниот 022 дава 644 за сите нови датотеки и 755 за сите нови директориуми создадени на вашиот сервер.

Целосен преглед на сите нумерички вредности умаск и нивните резултати во табелата подолу.

Едноставен начин да се види како функционира поставката за umask е следниот: започнете со стандардните дозволи за датотеки поставени на 666 и одземете ја umask за да ги добиете ефективните дозволи. Направете го истото за директориумот и неговите стандардни дозволи од 777.

Постојат два начина за промена на поставката за умаск: за сите корисници и за индивидуалните корисници. Ако сакате да поставите umask за сите корисници, мора да се погрижите да се почитува поставката за umask кога се извршуваат датотеките на околината на школка, како што е наведено во /etc/profile. Точниот пристап е да се создаде скрипта за школка наречена umask.sh во директориумот /etc/profile.d и да се наведе umask што сакате да го користите во таа скрипта на школка. Доколку се смени umask во оваа датотека, таа се применува на сите корисници откако ќе се најавите на серверот.

Алтернатива за поставување umask преку /etc/profile и придружните датотеки, каде што се применува за сите корисници кои се најавуваат, е да ги промените поставките за umask во датотека наречена .profile, која се креира во домашниот директориум на секој корисник.

Поставките применети во оваа датотека важат само за индивидуален корисник; затоа, ова е добар метод ако ви требаат повеќе детали. Мене лично ми се допаѓа оваа функција да ја смени стандардната умаск на корисникот на root во 027, додека обичните корисници работат со стандардната умаск од 022.

Работа со проширени кориснички атрибути

Ова е последниот дел за дозволите за Linux.

Кога работите со дозволи, секогаш постои врска помеѓу корисничкиот или групниот објект и дозволите што тие кориснички или групни објекти ги имаат на датотека или директориум. Алтернативен метод за заштита на датотеките на серверот Линукс е да се работи со атрибути.
Атрибутите ја вршат својата работа без оглед на корисникот кој пристапува до датотеката.

Како и кај ACL, можеби ќе треба да се овозможат атрибути на датотеки. се качи.

Ова е опција user_xattr. Ако примите порака „Операцијата не е поддржана“ кога работите со проширени кориснички атрибути, погрижете се да го поставите се качи во датотеката /etc/fstab.

Многу атрибути се документирани. Некои атрибути се достапни, но сè уште не се имплементирани. Не ги користете; ништо нема да ти донесат.

Подолу се најкорисните атрибути што можете да ги примените:

A Овој атрибут гарантира дека времето за пристап до датотеката на датотеката не се менува.
Вообичаено, секогаш кога ќе се отвори датотека, времето на пристап до датотеката треба да се запише во метаподатоците на датотеката. Ова негативно влијае на перформансите; затоа, за датотеките до кои се пристапува редовно, атрибутот A може да се користи за оневозможување на оваа функција.

a Овој атрибут ви овозможува да додавате, но не и да бришете, датотека.

c Ако користите датотечен систем кој поддржува компресија на ниво на јачина на звук, овој атрибут на датотека гарантира дека датотеката е компресирана кога моторот за компресија е првпат вклучен.

D Овој атрибут гарантира дека промените на датотеките се запишуваат веднаш на дискот наместо прво да се кешираат. Ова е корисен атрибут на важни датотеки со база на податоци за да се осигура дека тие не се губат помеѓу кешот на датотеки и тврдиот диск.

d Овој атрибут осигурува дека датотеката не е зачувана во резервни копии каде што се користи алатката за отпад.

I Овој атрибут овозможува индексирање за директориумот во кој е овозможен. Ова обезбедува побрз пристап до датотеки за примитивни датотечни системи како што е Ext3, кои не користат база на податоци од B-дрво за брз пристап до датотеки.

i Овој атрибут ја прави датотеката непроменлива. Затоа, не може да се направат никакви промени во датотеката, што е корисно за датотеките на кои им е потребна дополнителна заштита.

j Овој атрибут осигурува дека на датотечниот систем ext3, датотеката прво се запишува во дневникот, а потоа во податочните блокови на тврдиот диск.

s Презапишете ги блоковите во кои датотеката е зачувана 0 секунди по бришењето на датотеката. Ова осигурува дека датотеката не може да се врати откако ќе биде избришана.

u Овој атрибут складира информации за бришењето. Ова ви овозможува да развиете алатка која работи со овие информации за да ги спаси избришаните датотеки.

Ако сакате да примените атрибути, можете да ја користите командата чатр. На пример, користете chattr +s somefileда се применат атрибути на некоја датотека. Треба да се отстрани атрибут? Потоа користете chattr -s somefile, и ќе биде избришан. За да добиете преглед на сите атрибути кои моментално се применуваат, користете ја командата lsattr.

Краток преглед

Во оваа статија научивте како да работите со дозволи. Прочитавте за трите основни дозволи, напредните дозволи и како да користите ACL на датотечниот систем. Научивте и како да го користите параметарот umask за да ги примените стандардните дозволи. На крајот од овој напис, научивте како да користите атрибути проширени од корисникот за да примените дополнителен слој на безбедност на датотечниот систем.

Ако ви се допадна овој превод, ве молиме напишете за него во коментарите. Ќе има повеќе мотивација за правење корисни преводи.

Поправив некои печатни и граматички грешки во статијата. Некои обемни пасуси се намалени на помали за полесно читање.

Наместо „Само некој со административни права на директориумот може да примени дозвола за извршување“. поправено на „Само некој со пристап за запишување до директориумот може да примени дозвола за извршување.“, што би било поправилно.

Ви благодариме за коментарите берез.

Заменет:
Ако не сте сопственик на корисникот, школката ќе провери дали сте член на групата, наречена и група на датотеки.

На:
Ако не сте сопственик на датотеката, школката ќе провери дали сте член на група која има дозволи за датотеката. Ако сте член на оваа група, ќе пристапите до датотеката со дозволите што се поставени за групата, а школката ќе престане да проверува.

Ви благодариме за вашиот коментар Криптопират

Извор: www.habr.com