🥇 Linux मधील परवानग्या (chown, chmod, SUID, GUID, स्टिकी बिट, ACL, umask)

सर्वांना नमस्कार. हे RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 आणि EX300 पुस्तकातील लेखाचे भाषांतर आहे.

पुश: मला आशा आहे की लेख केवळ नवशिक्यांसाठीच उपयुक्त नाही तर अधिक अनुभवी प्रशासकांना त्यांचे ज्ञान आयोजित करण्यात मदत करेल.

तर, चला जाऊया.

लिनक्समधील फायलींमध्ये प्रवेश करण्यासाठी, परवानग्या वापरल्या जातात. या परवानग्या तीन ऑब्जेक्टसाठी नियुक्त केल्या आहेत: फाइल मालक, गट मालक आणि दुसरा ऑब्जेक्ट (म्हणजे इतर प्रत्येकजण). हा लेख तुम्हाला परवानग्या कशा लागू करायच्या हे शिकवेल.

लेखाची सुरुवात मूलभूत संकल्पनांच्या विहंगावलोकनाने होते आणि नंतर विशेष परवानग्या आणि प्रवेश नियंत्रण सूची (ACLs) वर चर्चा करते. या लेखाच्या शेवटी umask द्वारे डिफॉल्ट परवानग्या सेट करणे, तसेच विस्तारित वापरकर्ता विशेषता व्यवस्थापित करणे समाविष्ट आहे.

फाइल मालकी व्यवस्थापन

परवानग्यांवर चर्चा करण्यापूर्वी, तुम्हाला फाइल आणि निर्देशिका मालकाच्या भूमिकेची जाणीव असावी. परवानग्यांसह कार्य करण्यासाठी फाइल्स आणि निर्देशिकांची मालकी महत्त्वाची आहे. या विभागात, तुम्ही प्रथम मालकाला कसे पाहू शकता ते शिकाल. मग तुम्ही फाईल्स आणि डिरेक्टरी साठी गट मालक आणि वापरकर्ता कसे बदलायचे ते शिकाल.

फाइल किंवा निर्देशिकेचा मालक प्रदर्शित करणे

लिनक्समध्ये, प्रत्येक फाइल आणि प्रत्येक निर्देशिकेचे दोन मालक असतात: एक वापरकर्ता आणि एक गट मालक.

फाइल किंवा निर्देशिका तयार केल्यावर हे मालक सेट केले जातात. फाइल तयार करणारा वापरकर्ता या फाइलचा मालक बनतो आणि तोच वापरकर्ता ज्या प्राथमिक गटाशी संबंधित आहे तो देखील या फाइलचा मालक बनतो. वापरकर्ता म्‍हणून तुम्‍हाला फाइल किंवा डिरेक्‍टरीमध्‍ये प्रवेश अधिकार आहेत की नाही हे निर्धारित करण्‍यासाठी, शेल मालकी तपासते.

हे खालील क्रमाने घडते:

तुम्ही ज्या फाइलमध्ये प्रवेश करू इच्छिता त्या फाइलचे तुम्ही मालक आहात की नाही हे पाहण्यासाठी शेल तपासते. तुम्ही ते मालक असल्यास, तुम्हाला परवानग्या दिल्या जातात आणि शेल तपासणे थांबवते.
तुम्ही फाइलचे मालक नसल्यास, शेल तुम्ही फाइलवर परवानग्या असलेल्या गटाचे सदस्य आहात की नाही हे तपासेल. तुम्ही या गटाचे सदस्य असल्यास, तुम्ही गटासाठी सेट केलेल्या परवानग्यांसह फाइलमध्ये प्रवेश कराल आणि शेल तपासणे थांबवेल.
तुम्ही वापरकर्ता किंवा गट मालक नसल्यास, तुम्हाला इतर वापरकर्ता अधिकार प्राप्त होतात.

सध्याच्या मालकाच्या असाइनमेंट पाहण्यासाठी तुम्ही कमांड वापरू शकता ते सोडा. ही आज्ञा गटाचा वापरकर्ता आणि मालक दर्शविते. खाली तुम्ही /home डिरेक्टरी अंतर्गत डिरेक्टरी साठी मालक सेटिंग्ज पाहू शकता.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

आज्ञेने ls तुम्ही दिलेल्या निर्देशिकेत फाइल्सचा मालक प्रदर्शित करू शकता. काहीवेळा सिस्टमवरील सर्व फाईल्सची यादी मिळवणे उपयुक्त ठरू शकते ज्यांचा मालक म्हणून वापरकर्ता किंवा गट आहे. यासाठी तुम्ही वापरू शकता शोधणे. युक्तिवाद शोधा - वापरकर्ता या उद्देशासाठी वापरले जाऊ शकते. उदाहरणार्थ, खालील कमांड सर्व फाइल्स दाखवते ज्यात लिंडा मालक आहे:

find / -user linda

आपण देखील वापरू शकता शोधणे फायली शोधण्यासाठी ज्यांचा मालक म्हणून विशिष्ट गट आहे.

उदाहरणार्थ, खालील कमांड ग्रुपशी संबंधित सर्व फाईल्स शोधते वापरकर्ते:

find / -group users

मालक बदल

योग्य परवानग्या लागू करण्यासाठी, विचारात घेण्याची पहिली गोष्ट म्हणजे मालकी. यासाठी एक आदेश आहे गाणे. या कमांडचे वाक्यरचना समजण्यास सोपे आहे:

chown кто что

उदाहरणार्थ, खालील आदेश /home/account निर्देशिकेचा मालक वापरकर्ता लिंडामध्ये बदलतो:

chown linda /home/account

संघ गाणे अनेक पर्याय आहेत, त्यापैकी एक विशेषतः उपयुक्त आहे: -R. तुम्ही अंदाज लावू शकता की ते काय करते कारण हा पर्याय इतर अनेक कमांडसाठी देखील उपलब्ध आहे. हे तुम्हाला मालकाला वारंवार सेट करण्यास अनुमती देते, जे तुम्हाला वर्तमान निर्देशिकेचा मालक आणि त्याखालील सर्व काही सेट करण्यास अनुमती देते. खालील कमांड /home डिरेक्टरीचा मालक आणि त्याखालील सर्व काही वापरकर्त्याला लिंडा बदलते:

आता मालक यासारखे दिसतात:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

च्या करू द्या:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

आता वापरकर्ता लिसा खाते निर्देशिकेची मालक आहे:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

गट मालक बदला

गट मालकी बदलण्याचे दोन मार्ग आहेत. वापरून तुम्ही हे करू शकता गाणे, परंतु तेथे एक विशेष आदेश म्हणतात chgrp, जे हे काम करते. जर तुम्हाला कमांड वापरायची असेल गाणे, वापरा . किंवा : गटाच्या नावापूर्वी.

खालील आदेश /home/account गटाच्या कोणत्याही मालकाला खाते गटात बदलते:

chown .account /home/account

आपण वापरू शकता गाणे वापरकर्ता आणि/किंवा गटाचा मालक अनेक प्रकारे बदलण्यासाठी. येथे काही उदाहरणे आहेत:

chown lisa myfile1 myfile1 फाइलचा मालक म्हणून वापरकर्ता लिसा सेट करते.
chown lisa.sales myfile वापरकर्ता लिसाला myfile फाइलचा मालक म्हणून सेट करते आणि त्याच फाइलचा मालक म्हणून विक्री गट देखील सेट करते.
chown lisa:sales myfile मागील संघाप्रमाणेच.
chown .sales myfile वापरकर्त्याचा मालक न बदलता विक्री गटाला myfile चे मालक म्हणून सेट करते.
chown:sales myfile मागील संघाप्रमाणेच.

तुम्ही कमांड वापरू शकता chgrpगट मालक बदलण्यासाठी. खालील उदाहरणाचा विचार करा जिथे तुम्ही वापरू शकता chgrp खाते निर्देशिकेचा मालक विक्री गटावर सेट करा:

chgrp .sales /home/account

सह गाणे, तुम्ही पर्याय वापरू शकता -R с chgrp, आणि समूहाचा मालक देखील वारंवार बदला.

डीफॉल्ट मालकाची समज

तुमच्या लक्षात आले असेल की जेव्हा वापरकर्ता फाइल तयार करतो तेव्हा डीफॉल्ट मालकी लागू केली जाते.
फाइल तयार करणारा वापरकर्ता आपोआप त्या फाइलचा मालक बनतो आणि त्या वापरकर्त्याचा प्राथमिक गट आपोआप त्या फाइलचा मालक बनतो. सामान्यतः हा गट आहे जो वापरकर्त्याचा प्राथमिक गट म्हणून /etc/passwd फाइलमध्ये सूचीबद्ध आहे. तथापि, जर वापरकर्ता एकाधिक गटांचा सदस्य असेल, तर ते प्रभावी प्राथमिक गट बदलू शकतात.

वर्तमान प्रभावी प्राथमिक गट दर्शविण्यासाठी, वापरकर्ता कमांड वापरू शकतो गट:

[root@server1 ~]# groups lisa
lisa : lisa account sales

सध्याचा वापरकर्ता लिंडा प्रभावी प्राथमिक गट बदलू इच्छित असल्यास, तो कमांड वापरेल newgrpत्यानंतर तो नवीन प्रभावी प्राथमिक गट म्हणून सेट करू इच्छित गटाचे नाव. कमांड वापरल्यानंतर newgrp वापरकर्ता कमांड प्रविष्ट करेपर्यंत प्राथमिक गट सक्रिय असेल बाहेर पडा किंवा सिस्टममधून लॉग आउट होणार नाही.

वापरकर्ता लिंडा ही आज्ञा कशी वापरते ते येथे आहे, प्राथमिक गट विक्रीसह:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

वर्तमान प्राथमिक गट बदलल्यानंतर, वापरकर्त्याने तयार केलेल्या सर्व नवीन फायलींमध्ये तो गट समूह मालक म्हणून असेल. मूळ प्राथमिक गट सेटिंगवर परत येण्यासाठी, वापरा बाहेर पडा.

कमांड वापरण्यास सक्षम होण्यासाठी newgrp, वापरकर्ता प्राथमिक म्हणून वापरू इच्छित असलेल्या गटाचा सदस्य असणे आवश्यक आहे. याव्यतिरिक्त, कमांड वापरून ग्रुपसाठी ग्रुप पासवर्ड वापरला जाऊ शकतो gpasswd. जर वापरकर्ता कमांड वापरत असेल newgrpपरंतु लक्ष्य गटाचा सदस्य नाही, शेल गट पासवर्डसाठी विचारतो. एकदा तुम्ही योग्य गट पासवर्ड एंटर केल्यावर, एक नवीन प्रभावी प्राथमिक गट सेट केला जाईल.

मूलभूत हक्क व्यवस्थापन

लिनक्स परवानगी प्रणालीचा शोध 1970 मध्ये लागला. त्या वर्षांत संगणकीय गरजा मर्यादित असल्याने, मूलभूत परवानगी प्रणाली खूपच मर्यादित होती. ही परवानगी प्रणाली तीन परवानग्या वापरते ज्या फाइल्स आणि निर्देशिकांना लागू केल्या जाऊ शकतात. या विभागात, तुम्ही या परवानग्या कशा वापरायच्या आणि कशा बदलायच्या हे शिकाल.

वाचणे, लिहिणे आणि कार्यान्वित करण्याची परवानगी समजून घेणे

तीन मुख्य परवानग्या तुम्हाला फाइल्स वाचण्यास, लिहिण्यास आणि कार्यान्वित करण्यास परवानगी देतात. फाइल्स किंवा डिरेक्टरींना लागू केल्यावर या परवानग्यांचा प्रभाव वेगळा असतो. फाइलवर लागू केल्यावर, वाचण्याची परवानगी तुम्हाला फाइल वाचण्यासाठी उघडण्याचा अधिकार देते. म्हणून, आपण त्यातील सामग्री वाचू शकता, परंतु याचा अर्थ असा आहे की आपला संगणक त्यासह काहीतरी करण्यासाठी फाइल उघडू शकतो.

लायब्ररीमध्ये प्रवेश आवश्यक असलेल्या प्रोग्राम फाइलसाठी, उदाहरणार्थ, त्या लायब्ररीमध्ये वाचन प्रवेश असणे आवश्यक आहे. याचा अर्थ वाचन परवानगी ही सर्वात मूलभूत परवानगी आहे जी तुम्हाला फाइल्ससह कार्य करण्यासाठी आवश्यक आहे.

निर्देशिकेवर लागू केल्यावर, वाचन तुम्हाला त्या निर्देशिकेतील सामग्री प्रदर्शित करण्यास अनुमती देते. तुम्हाला याची जाणीव असावी की ही परवानगी तुम्हाला निर्देशिकेतील फाइल्स वाचण्याची परवानगी देत नाही. लिनक्स परवानग्या प्रणालीला वारसा माहित नाही आणि फाइल वाचण्याचा एकमेव मार्ग म्हणजे त्या फाइलवरील वाचन परवानग्या वापरणे.

तुम्ही अंदाज लावू शकता की, फाइलला लागू केल्यावर लिहिण्याची परवानगी फाइलवर लिहिण्याची परवानगी देते. दुसऱ्या शब्दांत, ते तुम्हाला विद्यमान फाइल्समधील सामग्री बदलण्याची परवानगी देते. तथापि, ते तुम्हाला नवीन फाइल्स तयार करण्याची किंवा हटवण्याची किंवा फाइल परवानग्या बदलण्याची परवानगी देत नाही. हे करण्यासाठी, तुम्हाला फाइल तयार करायची असलेल्या डिरेक्टरीला लेखन परवानगी द्यावी लागेल. डिरेक्टरीमध्ये, ही परवानगी तुम्हाला नवीन सबडिरेक्टरीज तयार करण्याची आणि हटवण्याची परवानगी देते.

फाइल कार्यान्वित करण्यासाठी तुम्हाला एक्झिक्युट परवानगी आवश्यक आहे. हे डीफॉल्टनुसार कधीही स्थापित केले जाणार नाही, ज्यामुळे Linux जवळजवळ पूर्णपणे व्हायरसपासून रोगप्रतिकारक बनते. केवळ डिरेक्टरीमध्ये लेखन प्रवेश असणारी व्यक्तीच कार्यान्वित करण्याची परवानगी लागू करू शकते.

खालील मूलभूत परवानग्यांच्या वापराचा सारांश देतो:

chmod वापरणे

अधिकार व्यवस्थापित करण्यासाठी, कमांड वापरा चिमोड... वापरत आहे चिमोड तुम्ही वापरकर्ता, गट आणि इतरांसाठी परवानग्या सेट करू शकता. तुम्ही ही कमांड दोन मोडमध्ये वापरू शकता: सापेक्ष मोड आणि परिपूर्ण मोड. निरपेक्ष मोडमध्ये, मूलभूत परवानग्या सेट करण्यासाठी तीन अंक वापरले जातात.

परवानग्या सेट करताना, तुम्हाला आवश्यक असलेल्या मूल्याची गणना करा. जर तुम्हाला वापरकर्त्यासाठी वाचन, लेखन आणि कार्यान्वित करायचे असेल, गटासाठी वाचन आणि कार्यान्वित करायचे असेल आणि /somefile मध्ये इतरांसाठी वाचन आणि कार्यान्वित करायचे असेल तर तुम्ही खालील आदेश वापरा. चिमोड:

chmod 755 /somefile

आपण वापरता तेव्हा चिमोड अशा प्रकारे, सर्व वर्तमान परवानग्या तुम्ही सेट केलेल्या परवानग्यांद्वारे बदलल्या जातात.

तुम्हाला सध्याच्या परवानग्यांशी संबंधित परवानग्या बदलायच्या असल्यास, तुम्ही वापरू शकता चिमोड सापेक्ष मोडमध्ये. वापरत आहे चिमोड सापेक्ष मोडमध्ये तुम्ही काय करू इच्छिता हे सूचित करण्यासाठी तुम्ही तीन निर्देशकांसह कार्य करता:

प्रथम तुम्ही निर्दिष्ट करा की तुम्हाला कोणासाठी परवानग्या बदलायच्या आहेत. हे करण्यासाठी तुम्ही वापरकर्त्यांपैकी निवडू शकता (u), गट (g) आणि इतर (o).
त्यानंतर तुम्ही वर्तमान मोडमधून परवानग्या जोडण्यासाठी किंवा काढून टाकण्यासाठी विधान वापरता किंवा त्या पूर्णपणे सेट करा.
शेवटी तुम्ही वापरता r, w и xतुम्हाला कोणत्या परवानग्या सेट करायच्या आहेत हे निर्दिष्ट करण्यासाठी.

सापेक्ष मोडमध्ये परवानग्या बदलताना, तुम्ही सर्व ऑब्जेक्ट्ससाठी परवानगी जोडण्यासाठी किंवा काढून टाकण्यासाठी "ते" भाग वगळू शकता. उदाहरणार्थ, ही आज्ञा सर्व वापरकर्त्यांसाठी कार्यान्वित करण्याची परवानगी जोडते:

chmod +x somefile

सापेक्ष मोडमध्ये कार्य करताना, आपण अधिक जटिल आदेश देखील वापरू शकता. उदाहरणार्थ, ही आज्ञा गटाला लेखन परवानगी जोडते आणि इतरांसाठी वाचण्याची परवानगी काढून टाकते:

chmod g+w,o-r somefile

वापरत आहे chmod -R o+rx /डेटा तुम्ही सर्व डिरेक्ट्रीजसाठी तसेच /data डिरेक्टरीमधील फाइल्ससाठी कार्यान्वित करण्याची परवानगी सेट केली आहे. फाइल्सवर नव्हे तर डिरेक्ट्रीजवर एक्झिक्यूट परवानगी सेट करण्यासाठी वापरा chmod -R o+ rX /डेटा.

अप्परकेस X हे सुनिश्चित करते की फाइलने काही ऑब्जेक्ट्सवर आधीपासून एक्झिक्युट परवानगी सेट केल्याशिवाय फाइल्सना कार्यान्वित करण्याची परवानगी दिली जाणार नाही. हे एक्झिक्यूशन परवानग्या हाताळण्यासाठी X ला एक स्मार्ट मार्ग बनवते; हे आवश्यक नसलेल्या फाइल्सवर ही परवानगी सेट करणे टाळेल.

विस्तारित अधिकार

तुम्ही आत्ताच वाचलेल्या मूलभूत परवानग्यांव्यतिरिक्त, Linux मध्ये प्रगत परवानग्यांचा संच देखील आहे. या तुम्ही डीफॉल्टनुसार सेट केलेल्या परवानग्या नाहीत, परंतु काहीवेळा ते उपयुक्त जोड देतात. या विभागात तुम्ही ते काय आहेत आणि ते कसे सेट करायचे ते शिकाल.

SUID, GUID आणि स्टिकी बिट विस्तारित अधिकार समजून घेणे

तीन प्रगत संकल्प आहेत. पहिली म्हणजे सेट युजर आयडी (SUID) परवानगी. काही विशेष प्रकरणांमध्ये, तुम्ही ही परवानगी एक्झिक्युटेबल फाइल्सवर लागू करू शकता. डीफॉल्टनुसार, एक्झिक्युटेबल चालवणारा वापरकर्ता ती फाइल स्वतःच्या परवानगीने चालवतो.

नियमित वापरकर्त्यांसाठी, याचा अर्थ असा होतो की प्रोग्रामचा वापर मर्यादित आहे. तथापि, काही प्रकरणांमध्ये, वापरकर्त्यास विशिष्ट कार्य करण्यासाठी विशेष परवानग्या आवश्यक असतात.

उदाहरणार्थ, अशा परिस्थितीचा विचार करा जिथे वापरकर्त्याला त्यांचा पासवर्ड बदलणे आवश्यक आहे. हे करण्यासाठी, वापरकर्त्याने त्याचा नवीन पासवर्ड /etc/shadow फाइलवर लिहावा. तथापि, ही फाइल रूट नसलेल्या वापरकर्त्यांद्वारे लिहिण्यायोग्य नाही:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID परवानगी या समस्येवर उपाय देते. /usr/bin/passwd युटिलिटीमध्ये, ही परवानगी डीफॉल्टनुसार लागू केली जाते. याचा अर्थ असा की जेव्हा पासवर्ड बदलला जातो, तेव्हा वापरकर्त्याला तात्पुरते रूट विशेषाधिकार मिळतात, जे त्यांना /etc/shadow फाइलवर लिहिण्याची परवानगी देतात. तुम्ही SUID परवानगीसह पाहू शकता ते सोडा कसे s अशा स्थितीत जिथे तुम्ही सामान्यपणे पाहण्याची अपेक्षा करता x सानुकूल परवानग्यांसाठी:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID परवानगी उपयुक्त वाटू शकते (आणि काही प्रकरणांमध्ये ती आहे), परंतु ती संभाव्य धोकादायक देखील आहे. चुकीच्या पद्धतीने वापरल्यास, तुम्ही चुकून रूट परवानग्या देऊ शकता. म्हणून, मी ते केवळ अत्यंत सावधगिरीने वापरण्याची शिफारस करतो.

बहुतेक प्रशासकांना ते वापरण्याची आवश्यकता नाही; तुम्हाला ते फक्त काही फाइल्समध्ये दिसेल जेथे ऑपरेटिंग सिस्टमने ते डीफॉल्टनुसार सेट केले पाहिजे.

दुसरी विशेष परवानगी म्हणजे ग्रुप आयडी (SGID). या परवानगीचे दोन परिणाम आहेत. एक्झिक्युटेबल फाईलवर लागू केल्यावर, ते फाइल कार्यान्वित करणार्‍या वापरकर्त्याला त्या फाइलच्या गट मालकाची परवानगी देते. त्यामुळे SGID SUID प्रमाणेच कमी-अधिक प्रमाणात करू शकते. तथापि, या उद्देशासाठी SGID क्वचितच वापरले जाते.

SUID परवानगीप्रमाणे, SGID काही सिस्टीम फाइल्सवर डीफॉल्ट सेटिंग म्हणून लागू केले जाते.

डिरेक्ट्रीवर लागू केल्यावर, SGID उपयोगी असू शकतो कारण तुम्ही त्याचा वापर त्या डिरेक्ट्रीमध्ये तयार केलेल्या फाइल्स आणि सबडिरेक्टरीजसाठी डीफॉल्ट ग्रुप मालक सेट करण्यासाठी करू शकता. डीफॉल्टनुसार, जेव्हा वापरकर्ता फाइल तयार करतो, तेव्हा त्यांचा प्रभावी प्राथमिक गट त्या फाइलसाठी गट मालक म्हणून सेट केला जातो.

हे नेहमीच फारसे उपयुक्त नसते, विशेषत: Red Hat/CentOS वापरकर्त्यांनी त्यांचा प्राथमिक गट वापरकर्त्याच्या समान नावाच्या गटासाठी सेट केलेला असतो, आणि त्यापैकी वापरकर्ता हा एकमेव सदस्य असतो. अशा प्रकारे, डीफॉल्टनुसार, वापरकर्त्याने तयार केलेल्या फायली गट सामायिक केल्या जातील.

अशा परिस्थितीची कल्पना करा जिथे वापरकर्ते लिंडा आणि लोरी अकाउंटिंगमध्ये काम करतात आणि गटाचे सदस्य आहेत खाते. डीफॉल्टनुसार, हे वापरकर्ते खाजगी गटाचे सदस्य आहेत ज्याचे ते एकमेव सदस्य आहेत. तथापि, दोन्ही वापरकर्ते खाते गटाचे सदस्य आहेत, परंतु दुय्यम गट पॅरामीटर म्हणून देखील आहेत.

डीफॉल्ट परिस्थिती अशी आहे की जेव्हा यापैकी कोणताही वापरकर्ता फाइल तयार करतो तेव्हा प्राथमिक गट मालक बनतो. त्यामुळे, डीफॉल्टनुसार, लिंडा lori द्वारे तयार केलेल्या फाइल्समध्ये प्रवेश करू शकत नाही आणि त्याउलट. तथापि, जर तुम्ही शेअर्ड ग्रुप डिरेक्टरी तयार केली असेल (सा सबडिरेक्टरीज , डिफॉल्ट गट मालक म्हणून गट खाते देखील मिळवा.

या कारणास्तव, SGID परवानगी ही पब्लिक ग्रुप डिरेक्ट्रीवर इन्स्टॉल करण्यासाठी अतिशय उपयुक्त परवानगी आहे.

SGID परवानगी आउटपुटमध्ये दर्शविली आहे ते सोडा कसे s ज्या स्थानावर तुम्हाला सामान्यतः गट अंमलबजावणीची परवानगी मिळेल:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

विशेष परवानग्यांचा तिसरा भाग चिकट बिट आहे. ही परवानगी अशा वातावरणात फायलींचे अपघाती हटवण्यापासून संरक्षण करण्यासाठी उपयुक्त आहे जिथे एकाधिक वापरकर्त्यांना समान निर्देशिकेत लेखन प्रवेश आहे. जर स्टिकी बिट वापरला असेल, तर वापरकर्ता फाइल फक्त डिलीट करू शकतो जर ते फाइल किंवा डिरेक्ट्रीचा वापरकर्ता मालक असेल ज्यामध्ये फाइल आहे. या कारणास्तव, ही /tmp डिरेक्ट्रीसाठी पूर्वनिर्धारित परवानगी आहे आणि सार्वजनिक गट डिरेक्ट्रीसाठी देखील उपयुक्त असू शकते.

स्टिकी बिटशिवाय, जर वापरकर्ता डिरेक्टरीमध्ये फाइल्स तयार करू शकतो, तर ते त्या डिरेक्टरीमधून फाइल्स देखील हटवू शकतात. सार्वजनिक समूह वातावरणात हे त्रासदायक असू शकते. लिंडा आणि लोरी वापरकर्त्यांची कल्पना करा, ज्यांना /डेटा/खाते निर्देशिकेत लिहिण्याची परवानगी आहे आणि खाते गटातील सदस्यत्वाद्वारे या परवानग्या मिळवा. म्हणून, लिंडा लोरीने तयार केलेल्या फायली हटवू शकते आणि त्याउलट.

जेव्हा तुम्ही स्टिकी बिट लागू करता, तेव्हा वापरकर्ता खालीलपैकी एक अटी सत्य असल्यासच फाइल हटवू शकतो:

वापरकर्ता फाइलचा मालक आहे;
वापरकर्ता फाइल ज्या निर्देशिकेत आहे त्याचा मालक आहे.

वापरत आहे ते सोडा, आपण सारखे चिकट बिट पाहू शकता t ज्या स्थितीत तुम्ही सहसा इतरांसाठी कार्यान्वित करण्याची परवानगी पाहता:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

विस्तारित अधिकार लागू करणे

SUID, SGID आणि स्टिकी बिट लागू करण्यासाठी तुम्ही देखील वापरू शकता चिमोड. SUID चे संख्यात्मक मूल्य 4 आहे, SGID चे संख्यात्मक मूल्य 2 आहे आणि स्टिकी बिटचे संख्यात्मक मूल्य 1 आहे.

जर तुम्हाला या परवानग्या लागू करायच्या असतील तर तुम्हाला चार वर्णांचा युक्तिवाद जोडावा लागेल चिमोड, त्यातील पहिला अंक विशेष परवानग्यांचा संदर्भ देतो. खालील ओळ, उदाहरणार्थ, निर्देशिकेत SGID परवानगी जोडेल आणि वापरकर्त्यासाठी rwx आणि गट आणि इतरांसाठी rx सेट करेल:

chmod 2755 /somedir

तुम्हाला काम करण्यापूर्वी सेट केलेल्या सध्याच्या परवानग्या पाहायच्या असल्यास हे अगदी अव्यवहार्य आहे चिमोड परिपूर्ण मोडमध्ये. (तुम्ही असे न केल्यास तुम्हाला परवानग्या ओव्हरराईट करण्याचा धोका आहे.) त्यामुळे तुम्हाला कोणत्याही विशेष परवानग्या लागू करण्याची आवश्यकता असल्यास मी संबंधित मोडमध्ये काम करण्याची शिफारस करतो:

SUID वापरासाठी chmod u+s.
SGID वापरासाठी chmod g+s.
चिकट बिट वापरासाठी chmod +tत्यानंतर ज्या फाईल किंवा डिरेक्ट्रीसाठी तुम्ही परवानग्या सेट करू इच्छिता त्या नावाने.

विशेष परवानग्या व्यवस्थापित करण्याबद्दल आपल्याला माहित असणे आवश्यक असलेल्या प्रत्येक गोष्टीचा सारणी सारांशित करते.

विशेष अधिकारांसह कार्य करण्याचे उदाहरण

या उदाहरणामध्ये, तुम्ही विशेष परवानग्या वापरता जेणेकरुन ग्रुप सदस्यांना शेअर केलेल्या ग्रुप डिरेक्टरीमध्ये फाइल्स शेअर करणे सोपे होईल. तुम्ही सेट ग्रुप आयडीचा आयडी बिट तसेच स्टिकी बिट असाइन करा आणि ते एकदा सेट केल्यावर, ग्रुप सदस्यांना एकत्र काम करणे सोपे करण्यासाठी वैशिष्ट्ये जोडली गेली आहेत हे पहा.

एक टर्मिनल उघडा जिथे तुम्ही लिंडा वापरकर्ता आहात. आपण कमांडसह वापरकर्ता तयार करू शकता लिंडा, पासवर्ड जोडा passwd लिंडा.
रूटमध्ये /data निर्देशिका आणि कमांडसह /data/sales उपनिर्देशिका तयार करा mkdir -p /data/sales. अंमलात आणा सीडी /डेटा/विक्रीविक्री निर्देशिकेवर जाण्यासाठी. अंमलात आणा लिंडा 1 ला स्पर्श करा и लिंडा 2 ला स्पर्श करालिंडाच्या मालकीच्या दोन रिकाम्या फाईल्स तयार करण्यासाठी.
चालवा सु-लिसा वर्तमान वापरकर्त्याला वापरकर्ता लिसा वर स्विच करण्यासाठी, जो विक्री गटाचा सदस्य देखील आहे.
चालवा सीडी /डेटा/विक्री आणि या निर्देशिकेतून चालवा ते सोडा. तुम्हाला दोन फाइल्स दिसतील ज्या लिंडा वापरकर्त्याने तयार केल्या होत्या आणि त्या लिंडा गटाशी संबंधित आहेत. अंमलात आणा rm -f लिंडा*. हे दोन्ही फायली हटवेल.
चालवा लिसा 1 ला स्पर्श करा и लिसा 2 ला स्पर्श करावापरकर्ता लिसाच्या मालकीच्या दोन फायली तयार करण्यासाठी.
चालवा su - रूट करण्यासाठी आपले विशेषाधिकार वाढवण्यासाठी.
चालवा chmod g+s,o+t /डेटा/विक्रीशेअर केलेल्या ग्रुप डिरेक्टरीमध्ये ग्रुप आयडेंटिफायर (GUID) बिट तसेच स्टिकी बिट सेट करण्यासाठी.
चालवा सु-लिंडा. मग करा लिंडा 3 ला स्पर्श करा и लिंडा 4 ला स्पर्श करा. तुम्ही तयार केलेल्या दोन फाईल्स विक्री गटाच्या मालकीच्या आहेत, जे /data/sales निर्देशिकेचा समूह मालक आहे हे तुम्ही आता पहावे.
चालवा आरएम -आरएफ लिसा*. स्टिकी बिट वापरकर्ता लिंडा म्हणून या फाइल्स हटवण्यापासून प्रतिबंधित करते कारण तुम्ही या फाइल्सचे मालक नाही. लक्षात घ्या की जर वापरकर्ता लिंडा /data/sales निर्देशिकेचा मालक असेल, तर तो या फाइल्स कशाही प्रकारे हटवू शकतो!

लिनक्स मध्ये ACL व्यवस्थापन (setfacl, getfacl).

जरी वर चर्चा केलेल्या प्रगत परवानग्या Linux च्या परवानग्यांशी व्यवहार करण्याच्या पद्धतीमध्ये उपयुक्त कार्यक्षमता जोडतात, तरीही ते तुम्हाला एकाच फाइलवर एकापेक्षा जास्त वापरकर्त्यांना किंवा एका गटाला परवानग्या देण्यास अनुमती देत नाही.

प्रवेश नियंत्रण याद्या ही कार्यक्षमता देतात. ते प्रशासकांना डीफॉल्ट परवानग्या एका जटिल पद्धतीने सेट करण्याची परवानगी देतात जिथे परवानग्या निर्देशिकांमध्ये भिन्न असू शकतात.

ACLs समजून घेणे

जरी ACL उपप्रणाली आपल्या सर्व्हरमध्ये उत्कृष्ट कार्यक्षमता जोडते, तरीही त्यात एक कमतरता आहे: सर्व उपयुक्तता त्यास समर्थन देत नाहीत. त्यामुळे, फाइल कॉपी करताना किंवा हलवताना तुम्ही ACL सेटिंग्ज गमावू शकता आणि बॅकअप सॉफ्टवेअर कदाचित ACL सेटिंग्जचा बॅकअप घेणार नाही.

टार युटिलिटी ACL ला समर्थन देत नाही. बॅकअप तयार करताना ACL सेटिंग्ज गमावल्या जाणार नाहीत याची खात्री करण्यासाठी, वापरा स्टार डांबर ऐवजी. स्टार टार सारख्याच पॅरामीटर्ससह कार्य करते; हे फक्त ACL सेटिंग्जसाठी समर्थन जोडते.

तुम्ही ACL चा वापर करून बॅकअप देखील घेऊ शकता getfacl, जे setfacl कमांड वापरून पुनर्संचयित केले जाऊ शकते. बॅकअप तयार करण्यासाठी, वापरा getfacl -R /directory > file.acls. बॅकअप फाइलमधून सेटिंग्ज पुनर्संचयित करण्यासाठी, वापरा setfacl --restore=file.acl.

काही साधनांसाठी समर्थनाचा अभाव ही समस्या असू नये. वैयक्तिक फायलींऐवजी स्ट्रक्चरल उपाय म्हणून एसीएल अनेकदा निर्देशिकांवर लागू केले जातात.
म्हणून, त्यापैकी बरेच नसतील, परंतु फक्त काही, फाइल सिस्टममधील स्मार्ट ठिकाणी लागू केले जातील. त्यामुळे, तुमचे बॅकअप सॉफ्टवेअर त्यांना सपोर्ट करत नसले तरीही तुम्ही ज्या मूळ ACL सह काम केले होते ते पुनर्संचयित करणे तुलनेने सोपे आहे.

ACL साठी फाइल सिस्टम तयार करत आहे

तुम्ही ACLs सह काम करण्यास सुरुवात करण्यापूर्वी, तुम्हाला तुमची फाइल सिस्टम ACL ला सपोर्ट करण्यासाठी तयार करावी लागेल. फाइल सिस्टम मेटाडेटा विस्तारित करणे आवश्यक असल्यामुळे, फाइल सिस्टमवर नेहमी ACL साठी डीफॉल्ट समर्थन नसते. फाइल सिस्टमसाठी ACL कॉन्फिगर करताना तुम्हाला "ऑपरेशन सपोर्टेड नाही" संदेश प्राप्त झाल्यास, तुमची फाइल सिस्टम कदाचित ACLs चे समर्थन करणार नाही.

याचे निराकरण करण्यासाठी तुम्हाला पर्याय जोडणे आवश्यक आहे acl माउंट /etc/fstab फाइलमध्ये जेणेकरुन फाइल प्रणालीला पूर्वनिर्धारितपणे ACL समर्थनासह आरोहित केले जाईल.

setfacl आणि getfacl वापरून ACL सेटिंग्ज बदलणे आणि पाहणे

ACL सेट करण्यासाठी तुम्हाला कमांडची आवश्यकता आहे सेटफॅकल. तुम्हाला आवश्यक असलेली वर्तमान ACL सेटिंग्ज पाहण्यासाठी getfacl. संघ ते सोडा कोणतेही विद्यमान ACL दाखवत नाही; हे फक्त परवानगी सूची नंतर + दर्शविते, जे सूचित करते की ACLs फाइलवर देखील लागू होतात.

ACLs कॉन्फिगर करण्यापूर्वी, वापरून वर्तमान ACL सेटिंग्ज दाखवणे नेहमीच चांगली कल्पना असते getfacl. खाली दिलेल्या उदाहरणाप्रमाणे तुम्ही वर्तमान परवानग्या पाहू शकता ते सोडा, आणि सोबत दाखवल्याप्रमाणे getfacl. जर तुम्ही बारकाईने पाहिले तर तुम्हाला दिसेल की दाखवलेली माहिती अगदी सारखीच आहे.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

आदेशाची अंमलबजावणी केल्यामुळे getfacl खाली तुम्ही पाहू शकता की तीन वेगवेगळ्या वस्तूंसाठी परवानग्या दाखवल्या आहेत: वापरकर्ता, गट आणि इतर. आता विक्री गटाला वाचन आणि कार्यान्वित परवानग्या देण्यासाठी ACL जोडू. यासाठीची आज्ञा आहे setfacl -mg:sales:rx/dir. या संघावर -m वर्तमान ACL सेटिंग्ज बदलण्याची आवश्यकता असल्याचे सूचित करते. त्यानंतर g:sales:rx ACL रीड आणि कार्यान्वित करण्यासाठी कमांडला सांगते (rxगटासाठी (g) विक्री. खाली तुम्ही कमांड कशी दिसते ते पाहू शकता, तसेच वर्तमान ACL सेटिंग्ज बदलल्यानंतर getfacl कमांडचे आउटपुट.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

आता तुम्हाला ग्रुप ACL कसा सेट करायचा हे समजले आहे, वापरकर्ते आणि इतर वापरकर्त्यांसाठी ACL समजणे सोपे आहे. उदाहरणार्थ, आदेश setfacl -mu:linda:rwx /data वापरकर्ता लिंडा ला मालक न बनवता किंवा वर्तमान मालकाची असाइनमेंट न बदलता /data निर्देशिकेत परवानगी देते.

संघ सेटफॅकल अनेक वैशिष्ट्ये आणि पर्याय आहेत. एक पर्याय विशेषतः महत्वाचा आहे, पॅरामीटर -R. वापरल्यास, पर्याय सर्व फाइल्स आणि उपडिरेक्टरींसाठी ACL सेटिंग बनवतो जे सध्या तुम्ही ACL सेट करता त्या निर्देशिकेमध्ये अस्तित्वात आहेत. विद्यमान निर्देशिकांसाठी ACL बदलताना हा पर्याय नेहमी वापरण्याची शिफारस केली जाते.

डीफॉल्ट ACL सह कार्य करणे

ACLs वापरण्याचा एक फायदा असा आहे की तुम्ही निर्देशिकेतील एकाधिक वापरकर्त्यांना किंवा गटांना परवानग्या देऊ शकता. आणखी एक फायदा असा आहे की डीफॉल्ट ACL सह काम करताना तुम्ही इनहेरिटन्स सक्षम करू शकता.

डीफॉल्ट ACL सेट करून, आपण निर्देशिकेत तयार केलेल्या सर्व नवीन आयटमवर सेट केल्या जाणाऱ्या परवानग्या निश्चित कराल. लक्षात ठेवा की डीफॉल्ट ACL विद्यमान फाइल्स आणि सबडिरेक्टरीजच्या परवानग्या बदलत नाही. ते बदलण्यासाठी, तुम्हाला नियमित ACL देखील जोडणे आवश्यक आहे!

हे जाणून घेणे महत्त्वाचे आहे. एकाच डिरेक्ट्रीमध्ये प्रवेश करण्यासाठी एकाधिक वापरकर्ते किंवा गट कॉन्फिगर करण्यासाठी तुम्ही ACL वापरू इच्छित असल्यास, तुम्ही ACL दोनदा सेट करणे आवश्यक आहे. प्रथम वापर setfacl -R -mवर्तमान फायलींसाठी ACL बदलण्यासाठी. मग वापरा setfacl -md:तयार होणार्‍या सर्व नवीन घटकांची काळजी घेणे.

डीफॉल्ट ACL सेट करण्यासाठी तुम्हाला फक्त पर्याय जोडण्याची आवश्यकता आहे d पर्याय नंतर -m (ऑर्डर महत्त्वाचे!). म्हणून वापरा setfacl -md:g:sales:rx /dataजर तुम्हाला गट विक्रीने /data निर्देशिकेत तयार होणारी प्रत्येक गोष्ट वाचून चालवायची असेल.

डीफॉल्ट ACL वापरताना, इतरांसाठी ACL सेट करणे देखील उपयुक्त ठरू शकते. सहसा याला फारसा अर्थ नसतो कारण तुम्ही इतरांना वापरत असलेल्या परवानग्या देखील बदलू शकता चिमोड. तथापि, आपण काय करू शकत नाही चिमोड, कधीही तयार केलेल्या प्रत्येक नवीन फाइलसाठी इतर वापरकर्त्यांना प्रदान केलेले अधिकार निर्दिष्ट करणे आहे. आपण इतरांना /data मध्ये तयार केलेल्या कोणत्याही परवानग्या मिळवण्यापासून रोखू इच्छित असल्यास, उदाहरणार्थ, वापरा setfacl -md:o::- /data.

ACL आणि नियमित परवानग्या नेहमी चांगल्या प्रकारे एकत्रित केल्या जात नाहीत. त्या डिरेक्ट्रीमध्ये आयटम जोडल्यानंतर तुम्ही डिफॉल्ट ACL डिरेक्ट्रीमध्ये लागू केल्यास आणि नंतर सामान्य परवानग्या बदलण्याचा प्रयत्न केल्यास समस्या उद्भवू शकतात. नियमित परवानग्यांवर लागू होणारे बदल ACL विहंगावलोकनमध्ये चांगले प्रतिबिंबित होणार नाहीत. समस्या टाळण्यासाठी, प्रथम सामान्य परवानग्या सेट करा, नंतर डीफॉल्ट ACL सेट करा (आणि त्यानंतर, त्यांना पुन्हा न बदलण्याचा प्रयत्न करा).

ACL वापरून विस्तारित अधिकार व्यवस्थापित करण्याचे उदाहरण

या उदाहरणात, तुम्ही आधी तयार केलेल्या /data/account आणि /data/sales डिरेक्टरीसह काम करणे सुरू ठेवाल. मागील उदाहरणांमध्ये, तुम्ही खात्री केली की विक्री गटाला /data/sales आणि खाते गटाला /data/account ला परवानग्या आहेत.

प्रथम, खाते गटाला /data/sales निर्देशिकेवरील वाचन परवानग्या आहेत आणि विक्री गटाला /data/account निर्देशिकेवरील वाचन परवानग्या आहेत याची खात्री करा.

त्यानंतर तुम्ही सर्व नवीन फाइल्सना सर्व नवीन आयटमवर योग्यरित्या परवानग्या सेट केल्या आहेत याची खात्री करण्यासाठी डीफॉल्ट ACL सेट करा.

टर्मिनल उघडा.
चालवा setfacl -mg:खाते:rx /data/sales и setfacl -mg:sales:rx /data/account.
चालवा getfaclपरवानग्या तुम्हाला हव्या त्या पद्धतीने सेट केल्या आहेत याची खात्री करण्यासाठी.
चालवा setfacl -md:g:खाते:rwx,g:sales:rx /data/salesविक्री निर्देशिकेसाठी डीफॉल्ट ACL सेट करण्यासाठी.
वापरून /डेटा/खाते निर्देशिकेसाठी डीफॉल्ट ACL जोडा setfacl -md:g:sales:rwx,g:खाते:rx /data/account.
/data/sales मध्ये एक नवीन फाइल जोडून तुमची ACL सेटिंग्ज प्रभावी असल्याचे सत्यापित करा. अंमलात आणा /data/sales/newfile ला स्पर्श करा आणि अंमलात आणा getfacl /data/sales/newfile वर्तमान परवानग्या तपासण्यासाठी.

umask वापरून डीफॉल्ट परवानग्या सेट करणे

डीफॉल्ट ACL सह कसे कार्य करावे हे तुम्ही वर शिकले आहे. तुम्ही ACL वापरत नसल्यास, तुम्हाला मिळणार्‍या डीफॉल्ट परवानग्या निर्धारित करणारा एक शेल पर्याय आहे: उमास्क (उलटा मुखवटा). या विभागात, आपण वापरून डीफॉल्ट परवानग्या कशा बदलायच्या हे शिकाल उमास्क.

तुमच्या लक्षात आले असेल की तुम्ही नवीन फाइल तयार करता तेव्हा काही डीफॉल्ट परवानग्या सेट केल्या जातात. या परवानग्या सेटिंगद्वारे निर्धारित केल्या जातात उमास्क. ही शेल सेटिंग लॉगऑनवरील सर्व वापरकर्त्यांना लागू होते. पॅरामीटर मध्ये उमास्क एक संख्यात्मक मूल्य वापरले जाते जे जास्तीत जास्त परवानग्यांमधून वजा केले जाते जे फाइलसाठी स्वयंचलितपणे सेट केले जाऊ शकते; फायलींसाठी कमाल सेटिंग 666 आहे आणि निर्देशिकांसाठी 777 आहे.

तथापि, या नियमाला काही अपवाद लागू होतात. आपण सेटिंग्जचे संपूर्ण विहंगावलोकन शोधू शकता उमास्क खालील तक्त्यामध्ये.

मध्ये वापरलेल्या संख्यांवरून उमास्क, कमांडच्या संख्यात्मक वितर्कांप्रमाणे चिमोड, पहिला अंक वापरकर्त्याच्या परवानग्यांचा संदर्भ देतो, दुसरा अंक गटाच्या परवानग्यांचा संदर्भ देतो आणि शेवटचा अंक इतरांसाठी सेट केलेल्या डीफॉल्ट परवानग्यांचा संदर्भ देतो. अर्थ उमास्क डीफॉल्ट 022 सर्व नवीन फाइल्ससाठी 644 आणि तुमच्या सर्व्हरवर तयार केलेल्या सर्व नवीन डिरेक्टरींसाठी 755 देते.

सर्व संख्यात्मक मूल्यांचे संपूर्ण विहंगावलोकन उमास्क आणि त्यांचे परिणाम खालील तक्त्यामध्ये आहेत.

उमास्क सेटिंग कसे कार्य करते हे पाहण्याचा एक सोपा मार्ग खालीलप्रमाणे आहे: 666 वर सेट केलेल्या डीफॉल्ट फाइल परवानग्यांसह प्रारंभ करा आणि प्रभावी परवानग्या मिळविण्यासाठी उमास्क वजा करा. निर्देशिका आणि 777 च्या त्याच्या डीफॉल्ट परवानग्यांसाठी हेच करा.

उमास्क सेटिंग बदलण्याचे दोन मार्ग आहेत: सर्व वापरकर्त्यांसाठी आणि वैयक्तिक वापरकर्त्यांसाठी. तुम्हाला सर्व वापरकर्त्यांसाठी umask सेट करायचे असल्यास, /etc/profile मध्ये निर्दिष्ट केल्याप्रमाणे, शेल पर्यावरण फाइल्स चालवताना umask सेटिंगचा आदर केला जाईल याची खात्री करणे आवश्यक आहे. योग्य दृष्टीकोन म्हणजे /etc/profile.d डिरेक्ट्रीमध्ये umask.sh नावाची शेल स्क्रिप्ट तयार करणे आणि त्या शेल स्क्रिप्टमध्ये तुम्हाला वापरायचे असलेले umask निर्दिष्ट करणे. या फाइलमध्ये उमास्क बदलल्यास, सर्व्हरमध्ये लॉग इन केल्यानंतर ते सर्व वापरकर्त्यांना लागू केले जाते.

/etc/profile आणि संबंधित फाइल्सद्वारे umask सेट करण्याचा पर्याय, जिथे ते लॉग इन करणार्‍या सर्व वापरकर्त्यांना लागू होते, .profile नावाच्या फाइलमधील umask सेटिंग्ज बदलणे, जे प्रत्येक वापरकर्त्याच्या होम डिरेक्टरीमध्ये तयार केले जाते.

या फाइलमध्ये लागू केलेल्या सेटिंग्ज केवळ वैयक्तिक वापरकर्त्यासाठी लागू होतात; म्हणून, आपल्याला अधिक तपशीलांची आवश्यकता असल्यास ही एक चांगली पद्धत आहे. मला वैयक्तिकरित्या रूट वापरकर्त्याचे डीफॉल्ट उमास्क 027 मध्ये बदलण्यासाठी हे वैशिष्ट्य आवडते, तर सामान्य वापरकर्ते 022 च्या डीफॉल्ट उमास्कसह कार्य करतात.

विस्तारित वापरकर्ता गुणधर्मांसह कार्य करणे

लिनक्स परवानग्यांवरील हा अंतिम विभाग आहे.

परवानग्यांसह कार्य करताना, वापरकर्ता किंवा समूह ऑब्जेक्ट आणि त्या वापरकर्त्याच्या किंवा गट ऑब्जेक्ट्सना फाइल किंवा निर्देशिकेवर असलेल्या परवानग्या यांच्यात नेहमीच संबंध असतो. लिनक्स सर्व्हरवरील फायली संरक्षित करण्यासाठी एक पर्यायी पद्धत म्हणजे गुणधर्मांसह कार्य करणे.
फाइलमध्ये प्रवेश करणार्‍या वापरकर्त्याची पर्वा न करता विशेषता त्यांचे कार्य करतात.

ACL प्रमाणे, फाइल विशेषता सक्षम करणे आवश्यक असू शकते. माउंट.

हा एक पर्याय आहे user_xattr. विस्तारित वापरकर्ता विशेषतांसह कार्य करताना तुम्हाला "ऑपरेशन समर्थित नाही" संदेश प्राप्त झाल्यास, निश्चित करा माउंट फाइल /etc/fstab मध्ये.

अनेक गुणधर्म दस्तऐवजीकरण आहेत. काही विशेषता उपलब्ध आहेत परंतु अद्याप अंमलात आलेल्या नाहीत. त्यांचा वापर करू नका; ते तुम्हाला काहीही आणणार नाहीत.

खाली सर्वात उपयुक्त गुणधर्म आहेत जे तुम्ही लागू करू शकता:

A ही विशेषता फाइलची फाइल प्रवेश वेळ बदलत नाही याची खात्री करते.
सामान्यतः, प्रत्येक वेळी फाइल उघडल्यानंतर, फाइलमध्ये प्रवेश करण्यात आलेली वेळ फाइलच्या मेटाडेटामध्ये रेकॉर्ड केली जावी. हे कार्यक्षमतेवर नकारात्मक परिणाम करते; म्हणून, नियमितपणे ऍक्सेस केलेल्या फाइल्ससाठी, विशेषता A हे वैशिष्ट्य अक्षम करण्यासाठी वापरले जाऊ शकते.

a ही विशेषता तुम्हाला फाइल जोडण्याची परवानगी देते, परंतु हटवू शकत नाही.

c जर तुम्ही व्हॉल्यूम-लेव्हल कॉम्प्रेशनला सपोर्ट करणारी फाइल सिस्टीम वापरत असाल, तर ही फाइल विशेषता हे सुनिश्चित करते की जेव्हा कॉम्प्रेशन इंजिन प्रथम सक्षम केले जाते तेव्हा फाइल कॉम्प्रेस केली जाते.

D ही विशेषता हे सुनिश्चित करते की फाइल्समधील बदल प्रथम कॅश करण्याऐवजी डिस्कवर त्वरित लिहिले जातात. फाइल कॅशे आणि हार्ड ड्राइव्ह दरम्यान हरवल्या जाणार नाहीत याची खात्री करण्यासाठी महत्त्वाच्या डेटाबेस फायलींवर ही एक उपयुक्त विशेषता आहे.

d ही विशेषता खात्री करते की फाईल बॅकअपमध्ये जतन केलेली नाही जेथे डंप युटिलिटी वापरली जाते.

I ही विशेषता ज्या निर्देशिकेत सक्षम केली आहे त्यासाठी अनुक्रमणिका सक्षम करते. हे Ext3 सारख्या आदिम फाइल प्रणालींसाठी जलद फाइल प्रवेश प्रदान करते, जे जलद फाइल प्रवेशासाठी बी-ट्री डेटाबेस वापरत नाहीत.

i ही विशेषता फाइलला अपरिवर्तनीय बनवते. त्यामुळे, फाइलमध्ये कोणतेही बदल केले जाऊ शकत नाहीत, जे अतिरिक्त संरक्षणाची आवश्यकता असलेल्या फाइल्ससाठी उपयुक्त आहे.

j ही विशेषता खात्री करते की ext3 फाइल प्रणालीवर, फाइल प्रथम जर्नलवर आणि नंतर हार्ड डिस्कवरील डेटा ब्लॉकवर लिहिली जाते.

s फाइल हटविल्यानंतर 0 s साठी फाइल सेव्ह केलेल्या ब्लॉक्सवर अधिलिखित करा. हे सुनिश्चित करते की फाइल हटवल्यानंतर ती पुनर्प्राप्त केली जाऊ शकत नाही.

u ही विशेषता हटवल्याबद्दल माहिती संग्रहित करते. हे तुम्हाला एक उपयुक्तता विकसित करण्यास अनुमती देते जी या माहितीसह हटविलेल्या फाइल्सची सुटका करण्यासाठी कार्य करते.

तुम्हाला विशेषता लागू करायची असल्यास तुम्ही कमांड वापरू शकता गोंधळ. उदाहरणार्थ, वापरा chattr +s somefilesomefile वर विशेषता लागू करण्यासाठी. विशेषता काढण्याची आवश्यकता आहे? मग वापरा chattr -s somefile, आणि ते हटवले जाईल. सध्या लागू केलेल्या सर्व विशेषतांचे विहंगावलोकन मिळविण्यासाठी, कमांड वापरा lsattr.

सारांश

या लेखात, तुम्ही परवानग्यांसह कसे कार्य करावे हे शिकलात. तुम्ही तीन मूलभूत परवानग्या, प्रगत परवानग्या आणि फाइल सिस्टमवर ACL कसे वापरावे याबद्दल वाचले आहे. डिफॉल्ट परवानग्या लागू करण्यासाठी umask पॅरामीटर कसे वापरायचे ते देखील तुम्ही शिकलात. या लेखाच्या शेवटी, आपण फाइल सिस्टम सुरक्षिततेचा अतिरिक्त स्तर लागू करण्यासाठी वापरकर्ता-विस्तारित गुणधर्म कसे वापरावे हे शिकलात.

जर तुम्हाला हा अनुवाद आवडला असेल तर कृपया त्याबद्दल टिप्पण्यांमध्ये लिहा. उपयुक्त भाषांतरे करण्यासाठी आणखी प्रेरणा मिळेल.

लेखातील काही टायपोज आणि व्याकरणाच्या चुका मी दुरुस्त केल्या आहेत. सोपे वाचन करण्यासाठी काही अवजड परिच्छेद लहान केले.

त्याऐवजी "फक्त निर्देशिकेचे प्रशासकीय अधिकार असलेले कोणीतरी अंमलबजावणी परवानगी लागू करू शकते." "फक्त डिरेक्टरीमध्ये लेखन प्रवेश असणारी व्यक्तीच अंमलबजावणी परवानगी लागू करू शकते." असे दुरुस्त केले, जे अधिक योग्य असेल.

टिप्पण्यांसाठी धन्यवाद बेरेझ.

बदलले:
तुम्ही वापरकर्त्याचे मालक नसल्यास, शेल तुम्ही गटाचे सदस्य आहात की नाही हे तपासेल, ज्याला फाइलचा गट देखील म्हणतात.

वर:
तुम्ही फाइलचे मालक नसल्यास, शेल तुम्ही फाइलवर परवानग्या असलेल्या गटाचे सदस्य आहात की नाही हे तपासेल. तुम्ही या गटाचे सदस्य असल्यास, तुम्ही गटासाठी सेट केलेल्या परवानग्यांसह फाइलमध्ये प्रवेश कराल आणि शेल तपासणे थांबवेल.

आपल्या टिप्पणीसाठी धन्यवाद क्रिप्टोपायरेट

स्त्रोत: www.habr.com

लिनक्समधील परवानग्या (chown, chmod, SUID, GUID, स्टिकी बिट, ACL, umask)