🥇 लिनक्समा अनुमतिहरू (chown, chmod, SUID, GUID, स्टिकी बिट, ACL, umask)

नमस्ते सबै। यो RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 र EX300 पुस्तकको लेखको अनुवाद हो।

धक्का: मलाई आशा छ कि लेख शुरुआतीहरूको लागि मात्र उपयोगी हुनेछ, तर थप अनुभवी प्रशासकहरूलाई उनीहरूको ज्ञानलाई सुव्यवस्थित गर्न मद्दत गर्नेछ।

त्यसैले जाऔं।

लिनक्समा फाइलहरू पहुँच गर्न, अनुमतिहरू प्रयोग गरिन्छ। यी अनुमतिहरू तीन वस्तुहरूलाई तोकिएका छन्: फाइल मालिक, समूह मालिक, र अर्को वस्तु (अर्थात, अरू सबै)। यस लेखमा, तपाईंले अनुमतिहरू कसरी लागू गर्ने भनेर सिक्नुहुनेछ।

यो लेख आधारभूत अवधारणाहरूको सिंहावलोकनबाट सुरु हुन्छ, त्यसपछि विशेष अनुमतिहरू र पहुँच नियन्त्रण सूचीहरू (ACLs) को छलफल। यस लेखको अन्त्यमा, हामी umask मार्फत पूर्वनिर्धारित अनुमतिहरू सेट गर्ने, साथै विस्तारित प्रयोगकर्ता विशेषताहरू प्रबन्ध गर्न कभर गर्छौं।

फाइल स्वामित्व व्यवस्थापन

अनुमतिहरू छलफल गर्नु अघि, तपाईंले फाइल र डाइरेक्टरी मालिकको भूमिका बारे सचेत हुनुपर्छ। फाइल र डाइरेक्टरीहरूको स्वामित्व अनुमतिहरूसँग व्यवहार गर्न महत्त्वपूर्ण छ। यस खण्डमा, तपाइँ पहिले तपाइँ कसरी मालिकलाई हेर्न सक्नुहुन्छ भनेर सिक्नुहुनेछ। त्यसपछि तपाईंले फाइलहरू र डाइरेक्टरीहरूको लागि समूह मालिक र प्रयोगकर्ता कसरी परिवर्तन गर्ने भनेर सिक्नुहुनेछ।

फाइल वा डाइरेक्टरीको मालिक प्रदर्शन गर्दै

लिनक्समा, प्रत्येक फाइल र प्रत्येक डाइरेक्टरीमा दुई मालिकहरू छन्: एक प्रयोगकर्ता र समूह मालिक।

यी मालिकहरू सेट हुन्छन् जब फाइल वा डाइरेक्टरी सिर्जना गरिन्छ। फाइल सिर्जना गर्ने प्रयोगकर्ता त्यो फाइलको मालिक बन्छ, र उही प्रयोगकर्तासँग सम्बन्धित प्राथमिक समूह पनि त्यो फाइलको मालिक बन्छ। यदि तपाइँ, एक प्रयोगकर्ताको रूपमा, फाइल वा डाइरेक्टरी पहुँच गर्न अनुमति छ भनेर निर्धारण गर्न, शेलले स्वामित्वको लागि जाँच गर्दछ।

यो निम्न क्रममा हुन्छ:

तपाईंले पहुँच गर्न चाहनु भएको फाइलको मालिक तपाईं हुनुहुन्छ कि भनेर खोलले जाँच गर्छ। यदि तपाईं मालिक हुनुहुन्छ भने, तपाईंले अनुमतिहरू प्राप्त गर्नुहुन्छ र शेल जाँच गर्न रोक्छ।
यदि तपाइँ फाइलको मालिक हुनुहुन्न भने, शेलले तपाइँ फाइलमा अनुमतिहरू भएको समूहको सदस्य हुनुहुन्छ कि भनेर जाँच गर्नेछ। यदि तपाईं यस समूहको सदस्य हुनुहुन्छ भने, तपाईंले समूहले सेट गरेको अनुमतिहरूसँग फाइल पहुँच गर्नुहुनेछ, र शेलले जाँच गर्न बन्द गर्नेछ।
यदि तपाईं प्रयोगकर्ता वा समूहको मालिक हुनुहुन्न भने, तपाईंलाई अन्य प्रयोगकर्ताहरू (अन्य) को अधिकार दिइन्छ।

हालको मालिक असाइनमेन्टहरू हेर्न, तपाइँ आदेश प्रयोग गर्न सक्नुहुन्छ ls - l। यो आदेशले प्रयोगकर्ता र समूहको मालिक देखाउँछ। तल तपाईले /home डाइरेक्टरीमा डाइरेक्टरीहरूको लागि मालिक सेटिङहरू हेर्न सक्नुहुन्छ।

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

आदेश संग ls तपाईंले दिइएको डाइरेक्टरीमा फाइलहरूको मालिक प्रदर्शन गर्न सक्नुहुन्छ। कहिलेकाहीँ यो प्रणालीमा सबै फाइलहरूको सूची प्राप्त गर्न उपयोगी हुन सक्छ जुन मालिकको रूपमा दिइएको प्रयोगकर्ता वा समूह छ। यसका लागि तपाईले प्रयोग गर्न सक्नुहुन्छ फेला। तर्क फेला पार्ने प्रयोगकर्ता यस उद्देश्यका लागि प्रयोग गर्न सकिन्छ। उदाहरणका लागि, निम्न आदेशले प्रयोगकर्ता लिंडाको स्वामित्वमा रहेका सबै फाइलहरूलाई सूचीबद्ध गर्दछ:

find / -user linda

तपाइँ पनि प्रयोग गर्न सक्नुहुन्छ फेला फाइलहरू खोज्नका लागि जसको मालिकको रूपमा निश्चित समूह छ।

उदाहरणका लागि, निम्न आदेशले समूहसँग सम्बन्धित सबै फाइलहरू खोज्छ प्रयोगकर्ता:

find / -group users

मालिक परिवर्तन

उपयुक्त अनुमतिहरू लागू गर्न, विचार गर्ने पहिलो कुरा स्वामित्व हो। यसका लागि आदेश छ chown। यस आदेशको वाक्य रचना बुझ्न सजिलो छ:

chown кто что

उदाहरणका लागि, निम्न आदेशले /home/account डाइरेक्टरीको मालिकलाई प्रयोगकर्ता लिंडामा परिवर्तन गर्छ:

chown linda /home/account

टोली chown धेरै विकल्पहरू छन्, जसमध्ये एउटा विशेष गरी उपयोगी छ: -R। तपाईले अनुमान गर्न सक्नुहुन्छ कि यसले के गर्छ किनभने यो विकल्प धेरै अन्य आदेशहरूको लागि पनि उपलब्ध छ। यसले तपाईंलाई मालिकलाई पुनरावर्ती सेट गर्न अनुमति दिन्छ, जसले तपाईंलाई हालको डाइरेक्टरी र तलका सबै चीजहरूको मालिक सेट गर्न अनुमति दिन्छ। निम्न आदेशले /home डाइरेक्टरी र लिंडा प्रयोगकर्तालाई तलका सबै चीजहरूको स्वामित्व परिवर्तन गर्दछ:

अब मालिकहरू यस्तो देखिन्छन्:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

गरौं:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

अब प्रयोगकर्ता लिसा खाता निर्देशिका को मालिक बनेको छ:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

समूहको मालिक परिवर्तन गर्नुहोस्

समूह स्वामित्व परिवर्तन गर्न दुई तरिकाहरू छन्। तपाईं यो प्रयोग गरेर गर्न सक्नुहुन्छ chown, तर त्यहाँ एक विशेष आदेश नाम छ chgrpत्यो काम गर्छ। यदि तपाइँ आदेश प्रयोग गर्न चाहनुहुन्छ भने chown, प्रयोग गर्नुहोस् . वा : समूहको नाम अगाडि।

निम्न आदेशले /घर/खाता समूहको कुनै पनि मालिकलाई खाता समूहमा परिवर्तन गर्छ:

chown .account /home/account

तिमी प्रयोग गर्नसक्छौ chown धेरै तरिकामा प्रयोगकर्ता र/वा समूहको मालिक परिवर्तन गर्न। यहाँ केही उदाहरणहरू छन्:

chown lisa myfile1 प्रयोगकर्ता लिसालाई myfile1 को मालिकको रूपमा सेट गर्दछ।
chown lisa.sales myfile प्रयोगकर्ता लिसालाई myfile फाइलको मालिकको रूपमा सेट गर्दछ, र बिक्री समूहलाई पनि उही फाइलको मालिकको रूपमा सेट गर्दछ।
chown lisa: बिक्री myfile अघिल्लो आदेश जस्तै।
chown .sales myfile प्रयोगकर्ताको मालिक परिवर्तन नगरिकन myfile को मालिक हुन बिक्री समूह सेट गर्दछ।
chown: बिक्री myfile अघिल्लो आदेश जस्तै।

तपाईं आदेश प्रयोग गर्न सक्नुहुन्छ chgrpसमूहको मालिक परिवर्तन गर्न। निम्न उदाहरणलाई विचार गर्नुहोस्, जहाँ तपाइँ प्रयोग गर्न सक्नुहुन्छ chgrp खाता डाइरेक्टरीको मालिकलाई बिक्री समूहमा सेट गर्नुहोस्:

chgrp .sales /home/account

जस्तो chown, तपाईं विकल्प प्रयोग गर्न सक्नुहुन्छ -R с chgrp, साथै समूहको मालिकलाई पुनरावर्ती परिवर्तन गर्नुहोस्।

पूर्वनिर्धारित मालिक बुझ्दै

तपाईंले याद गर्नुभएको होला कि जब प्रयोगकर्ताले फाइल सिर्जना गर्छ, पूर्वनिर्धारित स्वामित्व लागू हुन्छ।
फाइल सिर्जना गर्ने प्रयोगकर्ता स्वतः त्यो फाइलको मालिक बन्छ, र त्यो प्रयोगकर्ताको प्राथमिक समूह स्वचालित रूपमा फाइलको मालिक बन्छ। यो सामान्यतया समूह हो जुन प्रयोगकर्ताको प्राथमिक समूहको रूपमा /etc/passwd फाइलमा सूचीबद्ध छ। यद्यपि, यदि प्रयोगकर्ता एक भन्दा बढी समूहको सदस्य छ भने, प्रयोगकर्ताले प्रभावकारी प्राथमिक समूह परिवर्तन गर्न सक्छ।

हालको प्रभावकारी प्राथमिक समूह देखाउन, प्रयोगकर्ताले आदेश प्रयोग गर्न सक्छ समूह:

[root@server1 ~]# groups lisa
lisa : lisa account sales

यदि हालको लिंडा प्रयोगकर्ता प्रभावकारी प्राथमिक समूह परिवर्तन गर्न चाहन्छ भने, उसले आदेश प्रयोग गर्नेछ newgrpसमूहको नाम पछि उसले नयाँ प्रभावकारी प्राथमिक समूहको रूपमा सेट गर्न चाहन्छ। आदेश प्रयोग गरेपछि newgrp प्रयोगकर्ताले आदेश प्रविष्ट नगरेसम्म प्राथमिक समूह सक्रिय हुनेछ बाहिर निस्कन वा लग आउट नगर्नुहोस्।

निम्नले देखाउँछ कि कसरी प्रयोगकर्ता लिंडाले यो आदेश प्रयोग गर्दछ, प्राथमिक समूहको रूपमा बिक्रीको साथ:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

प्रभावकारी प्राथमिक समूह परिवर्तन गरेपछि, प्रयोगकर्ताद्वारा सिर्जना गरिएका सबै नयाँ फाइलहरूमा समूह मालिकको रूपमा त्यो समूह हुनेछ। मूल प्राथमिक समूह सेटिङमा फर्कन, प्रयोग गर्नुहोस् बाहिर निस्कन.

आदेश प्रयोग गर्न सक्षम हुन newgrp, प्रयोगकर्ताले प्राथमिक समूहको रूपमा प्रयोग गर्न चाहेको समूहको सदस्य हुनुपर्छ। थप रूपमा, आदेश प्रयोग गरेर समूहको लागि समूह पासवर्ड प्रयोग गर्न सकिन्छ gpasswd। यदि प्रयोगकर्ताले आदेश प्रयोग गर्दछ newgrpतर लक्षित समूहको सदस्य होइन, शेलले समूह पासवर्डको लागि प्रम्प्ट गर्छ। एकचोटि तपाईंले सही समूह पासवर्ड प्रविष्ट गर्नुभयो भने, नयाँ प्रभावकारी प्राथमिक समूह सेट हुनेछ।

मौलिक अधिकार व्यवस्थापन

लिनक्स अनुमति प्रणाली 1970 मा आविष्कार गरिएको थियो। ती वर्षहरूमा कम्प्युटिङ आवश्यकताहरू सीमित भएकाले आधारभूत अनुमति प्रणाली एकदमै सीमित थियो। यो अनुमति प्रणालीले फाइल र डाइरेक्टरीहरूमा लागू गर्न सकिने तीनवटा अनुमतिहरू प्रयोग गर्दछ। यस खण्डमा, तपाईंले यी अनुमतिहरू कसरी प्रयोग गर्ने र परिवर्तन गर्ने भनेर सिक्नुहुनेछ।

पढ्ने, लेख्ने, र कार्यान्वयन अनुमतिहरू बुझ्दै

तीन आधारभूत अनुमतिहरूले तपाईंलाई फाइलहरू पढ्न, लेख्न र कार्यान्वयन गर्न अनुमति दिन्छ। फाइल वा डाइरेक्टरीहरूमा लागू गर्दा यी अनुमतिहरूको प्रभाव फरक हुन्छ। फाइलको लागि, पढ्ने अनुमतिले तपाईंलाई पढ्नको लागि फाइल खोल्ने अधिकार दिन्छ। तसर्थ, तपाइँ यसको सामग्री पढ्न सक्नुहुन्छ, तर यसको मतलब तपाइँको कम्प्युटरले यसको साथ केहि गर्न फाइल खोल्न सक्छ।

एउटा कार्यक्रम फाइल जसलाई पुस्तकालयमा पहुँच चाहिन्छ, उदाहरणका लागि, त्यो पुस्तकालयमा पढ्ने पहुँच हुनुपर्छ। यो पछ्याउँछ कि पढ्ने अनुमति तपाईलाई फाइलहरूसँग काम गर्न आवश्यक सबैभन्दा आधारभूत अनुमति हो।

डाइरेक्टरीमा लागू गर्दा, पढाइले तपाईंलाई त्यो डाइरेक्टरीका सामग्रीहरू प्रदर्शन गर्न अनुमति दिन्छ। तपाइँ सचेत हुनुपर्दछ कि यो अनुमतिले तपाइँलाई डाइरेक्टरीमा फाइलहरू पढ्न अनुमति दिँदैन। लिनक्स अनुमति प्रणालीलाई विरासत थाहा छैन, र फाइल पढ्ने एकमात्र तरिका त्यो फाइलमा पढ्ने अनुमतिहरू प्रयोग गर्नु हो।

तपाईले अनुमान लगाउन सक्नुहुन्छ, लेख्ने अनुमति, यदि फाइलमा लागू गरियो भने, फाइलमा लेख्न अनुमति दिन्छ। अर्को शब्दमा, यसले तपाईंलाई अवस्थित फाइलहरूको सामग्री परिवर्तन गर्न अनुमति दिन्छ। यद्यपि, यसले तपाईंलाई नयाँ फाइलहरू सिर्जना गर्न वा मेटाउन वा फाइल अनुमतिहरू परिवर्तन गर्न अनुमति दिँदैन। यो गर्नको लागि, तपाईले फाइल सिर्जना गर्न चाहनु भएको डाइरेक्टरीलाई लेखन अनुमति दिन आवश्यक छ। डाइरेक्टरीहरूमा, यो अनुमतिले तपाईंलाई नयाँ उपनिर्देशिकाहरू सिर्जना गर्न र मेटाउन अनुमति दिन्छ।

कार्यान्वयन अनुमति भनेको फाइल कार्यान्वयन गर्न आवश्यक छ। यो कहिले पनि पूर्वनिर्धारित रूपमा स्थापित हुनेछैन, जसले लिनक्सलाई भाइरसहरूबाट लगभग पूर्ण रूपमा प्रतिरक्षा बनाउँछ। डाइरेक्टरीमा लेख्ने अनुमति भएको व्यक्तिले मात्र कार्यान्वयन अनुमति लागू गर्न सक्छ।

निम्नले आधारभूत अनुमतिहरूको प्रयोगलाई संक्षेप गर्दछ:

chmod प्रयोग गर्दै

आदेश अनुमतिहरू व्यवस्थापन गर्न प्रयोग गरिन्छ। chmod... प्रयोग गर्दै chmod तपाइँ प्रयोगकर्ता (प्रयोगकर्ता), समूह (समूह) र अन्य (अन्य) को लागी अनुमति सेट गर्न सक्नुहुन्छ। तपाईले यो आदेश दुई मोडमा प्रयोग गर्न सक्नुहुन्छ: सापेक्ष मोड र निरपेक्ष मोड। निरपेक्ष मोडमा, आधारभूत अनुमतिहरू सेट गर्न तीन अंकहरू प्रयोग गरिन्छ।

अनुमतिहरू सेट गर्दा, तपाईंलाई आवश्यक मान गणना गर्नुहोस्। यदि तपाइँ प्रयोगकर्ताको लागि पढ्न/लेख्न/कार्यान्वयन गर्न सेट गर्न चाहनुहुन्छ भने, समूहको लागि पढ्नुहोस्/कार्यान्वयन गर्नुहोस्, र /somefile मा अरूको लागि पढ्नुहोस्/कार्यान्वयन गर्नुहोस् भने तपाइँ निम्न आदेश प्रयोग गर्नुहोस् chmod:

chmod 755 /somefile

जब तपाइँ प्रयोग गर्नुहुन्छ chmod यसरी, सबै हालको अनुमतिहरू तपाईंले सेट गर्नुभएको अनुमतिहरूद्वारा प्रतिस्थापन गरिन्छ।

यदि तपाइँ हालको अनुमतिहरूसँग सम्बन्धित अनुमतिहरू परिवर्तन गर्न चाहनुहुन्छ भने, तपाइँ प्रयोग गर्न सक्नुहुन्छ chmod सापेक्ष मोडमा। प्रयोग गर्दै chmod सापेक्ष मोडमा तपाईले के गर्न चाहानुहुन्छ संकेत गर्न तीन सूचकहरूसँग काम गर्नुहुन्छ:

पहिले तपाईले कसको लागि अनुमतिहरू परिवर्तन गर्न चाहनुहुन्छ निर्दिष्ट गर्नुहोस्। यो गर्न को लागी, तपाइँ प्रयोगकर्ता (u), समूह (g) र अन्य (o).
त्यसपछि तपाइँ हालको मोडबाट अनुमतिहरू थप्न वा हटाउनको लागि कथन प्रयोग गर्नुहुन्छ, वा तिनीहरूलाई पूर्ण रूपमा सेट गर्नुहोस्।
अन्तमा तपाईले प्रयोग गर्नुहुन्छ r, w и xतपाइँ कुन अनुमतिहरू सेट गर्न चाहनुहुन्छ निर्दिष्ट गर्न।

सापेक्ष मोडमा अनुमतिहरू परिवर्तन गर्दा, तपाइँ सबै वस्तुहरूको लागि अनुमति थप्न वा हटाउन "to" भाग छोड्न सक्नुहुन्छ। उदाहरणका लागि, यो आदेशले सबै प्रयोगकर्ताहरूको लागि कार्यान्वयन अनुमति थप्छ:

chmod +x somefile

सापेक्ष मोडमा काम गर्दा, तपाईं थप जटिल आदेशहरू पनि प्रयोग गर्न सक्नुहुन्छ। उदाहरणका लागि, यो आदेशले समूहमा लेख्ने अनुमति थप्छ र अरूको लागि पढ्ने अनुमति हटाउँछ:

chmod g+w,o-r somefile

प्रयोग गर्दै chmod -R o+rx /data तपाईंले /data डाइरेक्टरीमा सबै डाइरेक्टरीहरू र फाइलहरूको लागि कार्यान्वयन अनुमति सेट गर्नुभयो। केवल डाइरेक्टरीहरूको लागि कार्यान्वयन अनुमति सेट गर्न फाइलहरूको लागि होइन, प्रयोग गर्नुहोस् chmod -R o+ rX /डेटा.

अपरकेस एक्सले फाइलले केही वस्तुहरूको लागि कार्यान्वयन अनुमति सेट नगरेसम्म फाइलहरूले कार्यान्वयन अनुमति प्राप्त गर्दैन भन्ने सुनिश्चित गर्दछ। यसले X लाई कार्यान्वयन अनुमतिहरूसँग व्यवहार गर्ने एक स्मार्ट तरिका बनाउँछ; यसले फाइलहरूमा यो अनुमति सेट गर्नबाट जोगिनेछ जहाँ यो आवश्यक छैन।

विस्तारित अधिकार

तपाईंले भर्खरै पढ्नुभएको आधारभूत अनुमतिहरूको अतिरिक्त, लिनक्ससँग पनि उन्नत अनुमतिहरूको सेट छ। यी तपाईंले पूर्वनिर्धारित रूपमा सेट गर्नुभएका अनुमतिहरू होइनन्, तर कहिलेकाहीं तिनीहरूले उपयोगी थप प्रदान गर्छन्। यस खण्डमा, तपाईंले तिनीहरू के हुन् र तिनीहरूलाई कसरी सेट अप गर्ने भनेर सिक्नुहुनेछ।

SUID, GUID, र स्टिकी बिट विस्तारित अनुमतिहरू बुझ्दै

त्यहाँ तीन उन्नत अनुमतिहरू छन्। यी मध्ये पहिलो प्रयोगकर्ता पहिचानकर्ता (SUID) सेट गर्ने अनुमति हो। केहि विशेष अवस्थामा, तपाईले यो अनुमति कार्यान्वयनयोग्य फाइलहरूमा लागू गर्न सक्नुहुन्छ। पूर्वनिर्धारित रूपमा, कार्यान्वयनयोग्य चलाउने प्रयोगकर्ताले त्यो फाइल आफ्नै अनुमतिमा चलाउँछ।

साधारण प्रयोगकर्ताहरूको लागि, यो सामान्यतया कार्यक्रमको प्रयोग सीमित छ भन्ने हो। यद्यपि, केहि अवस्थामा, प्रयोगकर्तालाई विशेष अनुमति चाहिन्छ, केवल एक विशेष कार्य गर्न।

उदाहरणका लागि, प्रयोगकर्ताले आफ्नो पासवर्ड परिवर्तन गर्नुपर्ने अवस्थालाई विचार गर्नुहोस्। यो गर्नका लागि, प्रयोगकर्ताले आफ्नो नयाँ पासवर्ड /etc/shadow फाइलमा लेख्नुपर्छ। यद्यपि, यो फाइल गैर-रूट प्रयोगकर्ताहरूद्वारा लेख्न योग्य छैन:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID अनुमतिले यस समस्याको समाधान प्रदान गर्दछ। /usr/bin/passwd उपयोगिताले पूर्वनिर्धारित रूपमा यो अनुमति प्रयोग गर्दछ। यसको मतलब पासवर्ड परिवर्तन गर्दा, प्रयोगकर्ता अस्थायी रूपमा रूट हुन्छ, जसले उसलाई /etc/shadow फाइलमा लेख्न अनुमति दिन्छ। तपाईं SUID अनुमति संग हेर्न सक्नुहुन्छ ls - l कसरी s एक स्थितिमा जहाँ तपाइँ सामान्यतया हेर्नको लागि आशा गर्नुहुन्छ x अनुकूलन अनुमतिहरूको लागि:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID अनुमति उपयोगी लाग्न सक्छ (र केहि अवस्थामा यो छ), तर एकै समयमा यो सम्भावित खतरनाक छ। यदि सही रूपमा लागू गरिएको छैन भने, तपाइँ गल्तिले रूट अनुमतिहरू दिन सक्नुहुन्छ। त्यसकारण, म यसलाई अत्यन्त सावधानीपूर्वक प्रयोग गर्न सिफारिस गर्दछु।

धेरै प्रशासकहरूले यसलाई प्रयोग गर्न आवश्यक पर्दैन; तपाईंले यसलाई केही फाइलहरूमा मात्र देख्नुहुनेछ जहाँ अपरेटिङ सिस्टमले यसलाई पूर्वनिर्धारित रूपमा सेट गर्नुपर्छ।

दोस्रो विशेष अनुमति समूह आईडी (SGID) हो। यो अनुमति दुई प्रभाव छ। जब कार्यान्वयनयोग्य फाइलमा लागू हुन्छ, यसले फाइल कार्यान्वयन गर्ने प्रयोगकर्तालाई फाइलको समूह मालिकको अनुमति दिन्छ। त्यसैले SGID ले SUID को रूपमा कम वा कम गर्न सक्छ। यद्यपि, SGID यस उद्देश्यका लागि शायदै प्रयोग गरिन्छ।

SUID अनुमतिको रूपमा, SGID केही प्रणाली फाइलहरूमा पूर्वनिर्धारित सेटिङको रूपमा लागू हुन्छ।

डाइरेक्टरीमा लागू गर्दा, SGID उपयोगी हुन सक्छ किनभने तपाईंले यसलाई डाइरेक्टरीमा सिर्जना गरिएका फाइलहरू र उपनिर्देशिकाहरूका लागि पूर्वनिर्धारित समूह मालिक सेट गर्न प्रयोग गर्न सक्नुहुन्छ। पूर्वनिर्धारित रूपमा, प्रयोगकर्ताले फाइल सिर्जना गर्दा, तिनीहरूको प्रभावकारी प्राथमिक समूह त्यो फाइलको लागि समूह मालिकको रूपमा सेट गरिन्छ।

यो सधैं धेरै उपयोगी छैन, विशेष गरी जब Red Hat/CentOS प्रयोगकर्ताहरूले आफ्नो प्राथमिक समूहलाई प्रयोगकर्ताको समान नामको समूहमा सेट गरेको हुन्छ, र जसमध्ये प्रयोगकर्ता मात्र सदस्य हो। यसरी, पूर्वनिर्धारित रूपमा, प्रयोगकर्ताले सिर्जना गर्ने फाइलहरू बल्कमा साझेदारी गरिनेछ।

एक अवस्थाको कल्पना गर्नुहोस् जहाँ प्रयोगकर्ताहरू लिंडा र लोरी लेखामा काम गर्छन् र समूहका सदस्य हुन् खाता। पूर्वनिर्धारित रूपमा, यी प्रयोगकर्ताहरू एक निजी समूहका सदस्य हुन् जसको तिनीहरू मात्र सदस्य हुन्। यद्यपि, दुबै प्रयोगकर्ताहरू खाता समूहका सदस्य हुन्, तर माध्यमिक समूह प्यारामिटरको रूपमा पनि।

पूर्वनिर्धारित अवस्था यो हो कि यी प्रयोगकर्ताहरू मध्ये कुनै पनि फाइल सिर्जना गर्दा, प्राथमिक समूह मालिक बन्छ। त्यसकारण, पूर्वनिर्धारित रूपमा, लिन्डाले लोरीद्वारा सिर्जना गरिएका फाइलहरू पहुँच गर्न सक्दैन, र यसको विपरीत। यद्यपि, यदि तपाईंले साझा समूह डाइरेक्टरी सिर्जना गर्नुभयो (/समूह/खाता भन्नुहोस्) र SGID अनुमति त्यो डाइरेक्टरीमा लागू गरिएको छ र समूह खातालाई त्यो डाइरेक्टरीका लागि समूह मालिकको रूपमा सेट गरिएको छ भने, त्यस डाइरेक्टरीमा सिर्जना गरिएका सबै फाइलहरू र सबै यसको उपनिर्देशिकाहरूको, पूर्वनिर्धारित रूपमा समूह मालिकको रूपमा समूह खाता पनि प्राप्त गर्नुहोस्।

यस कारणले गर्दा, SGID अनुमति सार्वजनिक समूह डाइरेक्टरीहरूमा सेट गर्न धेरै उपयोगी अनुमति हो।

SGID अनुमति आउटपुटमा देखाइएको छ ls - l कसरी s स्थितिमा जहाँ तपाइँ सामान्यतया समूह कार्यान्वयन गर्न अनुमति पाउनुहुनेछ:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

विशेष अनुमतिहरूको तेस्रो स्टिकी बिट हो। यो अनुमति धेरै प्रयोगकर्ताहरूले एउटै डाइरेक्टरीमा लेख्ने पहुँच भएको वातावरणमा आकस्मिक मेटाइबाट फाइलहरू जोगाउन उपयोगी छ। यदि स्टिकी बिट प्रयोग गरिन्छ भने, प्रयोगकर्ताले मात्र फाइल मेटाउन सक्छ यदि तिनीहरू फाइल वा डाइरेक्टरीको प्रयोगकर्ता मालिक हुन् जसमा फाइल समावेश छ। यस कारणले, यो /tmp डाइरेक्टरीका लागि पूर्वनिर्धारित अनुमतिको रूपमा प्रयोग गरिन्छ र सार्वजनिक समूह डाइरेक्टरीहरूको लागि पनि उपयोगी हुन सक्छ।

स्टिकी बिट बिना, यदि प्रयोगकर्ताले डाइरेक्टरीमा फाइलहरू सिर्जना गर्न सक्छ भने, तिनीहरूले त्यो डाइरेक्टरीबाट फाइलहरू मेटाउन पनि सक्छन्। सार्वजनिक समूह वातावरणमा, यो कष्टप्रद हुन सक्छ। लिन्डा र लोरी प्रयोगकर्ताहरूको कल्पना गर्नुहोस्, जो दुबैसँग /डेटा/खाता डाइरेक्टरीमा लेख्ने अनुमति छ र खाता समूहको सदस्य भएर ती अनुमतिहरू प्राप्त गर्नुहोस्। तसर्थ, लिंडाले लोरी द्वारा बनाईएको फाइलहरू मेटाउन सक्छ र यसको विपरीत।

जब तपाइँ स्टिकी बिट लागू गर्नुहुन्छ, प्रयोगकर्ताले केवल फाइलहरू मेटाउन सक्छ यदि निम्न सर्तहरू मध्ये एक सत्य छ:

प्रयोगकर्ता फाइलको मालिक हो;
प्रयोगकर्ता निर्देशिकाको मालिक हो जहाँ फाइल अवस्थित छ।

प्रयोग गर्दै ls - l, तपाईं टाँसिने बिट को रूपमा देख्न सक्नुहुन्छ t स्थितिमा जहाँ तपाइँ सामान्यतया अरूको लागि कार्यान्वयन अनुमति देख्नुहुन्छ:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

विस्तारित अधिकारहरू लागू गर्दै

SUID, SGID र स्टिकी बिट लागू गर्न तपाईंले पनि प्रयोग गर्न सक्नुहुन्छ chmod। SUID सँग 4 को संख्यात्मक मान छ, SGID को संख्यात्मक मान 2 छ, र स्टिकी बिटको संख्यात्मक मान 1 छ।

यदि तपाइँ यी अनुमतिहरू लागू गर्न चाहनुहुन्छ भने, तपाइँलाई चार अंकको तर्क थप्न आवश्यक छ chmod, जसको पहिलो अंकले विशेष अनुमतिहरूलाई जनाउँछ। निम्न रेखा, उदाहरणका लागि, डाइरेक्टरीमा SGID अनुमति थप्नेछ र प्रयोगकर्ताका लागि rwx र समूह र अन्यका लागि rx सेट गर्नेछ:

chmod 2755 /somedir

यो बरु अव्यावहारिक छ यदि तपाइँसँग काम गर्नु अघि सेट गरिएका वर्तमान अनुमतिहरू हेर्न आवश्यक छ chmod निरपेक्ष मोडमा। (तपाईंले अनुमतिहरू ओभरराइट गर्ने जोखिम चलाउनुहुन्न भने।) त्यसैले म तपाईंलाई कुनै पनि विशेष अनुमतिहरू लागू गर्न आवश्यक भएमा सापेक्ष मोडमा चलाउन सिफारिस गर्दछु:

SUID प्रयोगको लागि chmod u+s.
SGID प्रयोगको लागि chmod g+s.
टाँसिने बिट प्रयोगको लागि chmod +t, फाइल वा डाइरेक्टरीको नाम पछि जसको लागि तपाइँ अनुमतिहरू सेट गर्न चाहनुहुन्छ।

तालिकाले तपाईंलाई विशेष अनुमतिहरू प्रबन्ध गर्ने बारे जान्न आवश्यक पर्ने सबै कुराहरूको सारांश दिन्छ।

विशेष अधिकार संग काम गर्ने उदाहरण

यस उदाहरणमा, तपाईंले समूहका सदस्यहरूलाई साझा समूह डाइरेक्टरीमा फाइलहरू साझेदारी गर्न सजिलो बनाउन विशेष अनुमतिहरू प्रयोग गर्नुहुन्छ। तपाईंले सेट समूह ID र स्टिकी बिटमा ID बिट तोक्नुहुन्छ, र तपाईंले देख्नुहुन्छ कि एक पटक सेट गरिसकेपछि, समूहका सदस्यहरूलाई सँगै काम गर्न सजिलो बनाउन सुविधाहरू थपिन्छन्।

एउटा टर्मिनल खोल्नुहोस् जहाँ तपाईं लिंडा प्रयोगकर्ता हुनुहुन्छ। तपाइँ आदेश संग प्रयोगकर्ता सिर्जना गर्न सक्नुहुन्छ लिन्डा, पासवर्ड थप्नुहोस् passwd लिन्डा.
रूटमा /डेटा डाइरेक्टरी र आदेशको साथ /डेटा/सेल्स उपनिर्देशिका सिर्जना गर्नुहोस् mkdir -p /data/sales। पूरा सीडी /डेटा/बिक्रीबिक्री निर्देशिकामा जानुहोस्। पूरा टच लिन्डा १ и टच लिन्डा १लिंडाको स्वामित्वमा रहेका दुई खाली फाइलहरू सिर्जना गर्न।
चलाउनुहोस् su-lisa हालको प्रयोगकर्तालाई प्रयोगकर्ता लिसामा स्विच गर्न, जो बिक्री समूहको सदस्य पनि हो।
चलाउनुहोस् सीडी /डेटा/बिक्री र त्यो डाइरेक्टरीबाट कार्यान्वयन गर्नुहोस् ls - l। तपाईंले दुई फाइलहरू देख्नुहुनेछ जुन लिन्डा प्रयोगकर्ताद्वारा सिर्जना गरिएको थियो र लिंडा समूहसँग सम्बन्धित छ। पूरा rm -f लिंडा*। यसले दुवै फाइलहरू मेटाउनेछ।
चलाउनुहोस् lisa1 लाई छुनुहोस् и lisa2 लाई छुनुहोस्प्रयोगकर्ता लिसाको स्वामित्वमा रहेका दुई फाइलहरू सिर्जना गर्न।
चलाउनुहोस् su- आफ्नो विशेषाधिकारहरू जरामा माथि उठाउन।
चलाउनुहोस् chmod g+s,o+t /data/salesसाझा समूह डाइरेक्टरीमा समूह पहिचानकर्ता (GUID) बिट र स्टिकी बिट सेट गर्न।
चलाउनुहोस् su-linda। त्यसपछि गर्नुहोस् टच लिन्डा १ и टच लिन्डा १। तपाईंले अब देख्नुपर्छ कि तपाईंले सिर्जना गर्नुभएको दुई फाइलहरू बिक्री समूहको स्वामित्वमा छन्, जुन /data/sales निर्देशिकाको समूह मालिक हो।
चलाउनुहोस् rm -rf लिसा*। स्टिकी बिटले यी फाइलहरूलाई लिन्डा प्रयोगकर्ताको तर्फबाट मेटाउनबाट रोक्छ, किनकि तपाईं यी फाइलहरूको मालिक हुनुहुन्न। नोट गर्नुहोस् कि यदि लिन्डा प्रयोगकर्ता /डेटा/सेल्स डाइरेक्टरीको मालिक हो भने, उनीहरूले यी फाइलहरू जसरी पनि मेटाउन सक्छन्!

लिनक्समा ACL व्यवस्थापन (setfacl, getfacl)

यद्यपि माथि छलफल गरिएका विस्तारित अनुमतिहरूले लिनक्सले अनुमतिहरू ह्यान्डल गर्ने तरिकामा उपयोगी कार्यक्षमता थप्छ, यसले तपाईंलाई एउटै फाइलमा एकभन्दा बढी प्रयोगकर्ता वा समूहहरूलाई अनुमतिहरू प्रदान गर्न अनुमति दिँदैन।

पहुँच नियन्त्रण सूचीहरूले यो कार्यक्षमता प्रदान गर्दछ। तिनीहरूले प्रशासकहरूलाई पूर्वनिर्धारित अनुमतिहरू जटिल रूपमा सेट गर्न अनुमति दिन्छ जहाँ अनुमतिहरू सेट डाइरेक्टरीहरू बीच फरक हुन सक्छ।

ACLs बुझ्दै

यद्यपि ACL उपप्रणालीले तपाईंको सर्भरमा उत्कृष्ट कार्यक्षमता थप्छ, यसको एउटा बेफाइदा छ: सबै उपयोगिताहरूले यसलाई समर्थन गर्दैनन्। तसर्थ, तपाईंले फाइलहरू प्रतिलिपि वा सार्दा तपाईंको ACL सेटिङहरू गुमाउन सक्नुहुन्छ, र तपाईंको जगेडा सफ्टवेयरले तपाईंको ACL सेटिङहरू ब्याकअप गर्न असफल हुन सक्छ।

टार उपयोगिताले ACL लाई समर्थन गर्दैन। तपाईंले ब्याकअप सिर्जना गर्दा ACL सेटिङहरू हराएको छैन भनेर सुनिश्चित गर्न, प्रयोग गर्नुहोस् तारा टारको सट्टा। तारा टारको रूपमा समान विकल्पहरूसँग काम गर्दछ; यसले केवल ACL सेटिङहरूको लागि समर्थन थप्छ।

तपाईं ACL हरू पनि ब्याकअप गर्न सक्नुहुन्छ getfacl, जुन setfacl आदेश प्रयोग गरेर पुनर्स्थापित गर्न सकिन्छ। ब्याकअप सिर्जना गर्न, प्रयोग गर्नुहोस् getfacl -R /directory> file.acls। ब्याकअप फाइलबाट सेटिङहरू पुनर्स्थापना गर्न, प्रयोग गर्नुहोस् setfacl --restore=file.acl.

केहि उपकरणहरु द्वारा समर्थन को कमी एक समस्या हुनु हुँदैन। ACL हरू प्रायः डाइरेक्टरीहरूमा व्यक्तिगत फाइलहरूको सट्टा संरचनात्मक उपायको रूपमा लागू गरिन्छ।
त्यसकारण, त्यहाँ तिनीहरूमध्ये धेरै हुनेछैन, तर केही मात्र, फाइल प्रणालीमा स्मार्ट ठाउँहरूमा लागू हुनेछ। तसर्थ, तपाईंले काम गर्नुभएको मूल ACL हरू पुनर्स्थापना गर्न अपेक्षाकृत सजिलो छ, भले पनि तपाईंको ब्याकअप सफ्टवेयरले तिनीहरूलाई समर्थन गर्दैन।

ACL को लागि फाइल प्रणाली तयार गर्दै

तपाईंले ACLs सँग काम सुरु गर्नु अघि, तपाईंले आफ्नो फाइल प्रणालीलाई ACL लाई समर्थन गर्न तयार गर्न आवश्यक पर्दछ। किनभने फाइल प्रणाली मेटाडेटा विस्तार गर्न आवश्यक छ, त्यहाँ सधैं फाइल प्रणालीमा ACL को लागि पूर्वनिर्धारित समर्थन छैन। यदि तपाईंले फाइल प्रणालीको लागि ACLs सेटअप गर्दा "सञ्चालन समर्थित छैन" सन्देश पाउनुभयो भने, तपाईंको फाइल प्रणालीले ACL हरूलाई समर्थन नगर्न सक्छ।

यसलाई ठीक गर्न तपाईंले विकल्प थप्न आवश्यक छ acl माउन्ट /etc/fstab मा ताकि फाइल प्रणाली पूर्वनिर्धारित रूपमा ACL समर्थनसँग माउन्ट गरिएको छ।

Setfacl र getfacl सँग ACL सेटिङहरू परिवर्तन र हेर्दै

ACL सेट गर्न तपाईलाई आदेश चाहिन्छ setfacl। हालको ACL सेटिङहरू हेर्नको लागि तपाईंलाई आवश्यक छ getfacl। टोली ls - l कुनै पनि अवस्थित ACLs देखाउँदैन; यसले केवल अनुमति सूची पछि + देखाउँदछ, जसले ACL हरू फाइलमा पनि लागू हुन्छ भनेर संकेत गर्दछ।

ACL हरू सेट अप गर्नु अघि, वर्तमान ACL सेटिङहरू देखाउन सधैं राम्रो विचार हो getfacl। तलको उदाहरणमा, तपाईले हालको अनुमतिहरू देख्न सक्नुहुन्छ, जस्तै देखाइएको छ ls - l, र पनि देखाइएको रूपमा getfacl। यदि तपाइँ पर्याप्त नजिकबाट हेर्नुभयो भने, तपाइँ देख्नुहुनेछ कि देखाइएको जानकारी ठ्याक्कै उस्तै छ।

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

आदेश कार्यान्वयनको परिणामको रूपमा getfacl तल तपाईले देख्न सक्नुहुन्छ कि अनुमतिहरू तीन फरक वस्तुहरूको लागि देखाइएको छ: प्रयोगकर्ता, समूह र अन्य। अब बिक्री समूहलाई पढ्न र कार्यान्वयन अनुमति दिनको लागि ACL थपौं। यसको लागि आदेश setfacl -mg: sales: rx /dir। यस टोलीमा -m वर्तमान ACL सेटिङहरू परिवर्तन गर्न आवश्यक छ भनेर संकेत गर्दछ। तेस पछि g:sales:rx पठन-कार्यान्वयन ACL सेट गर्न आदेश बताउँछ (rxसमूहको लागि (g) बिक्री। तल तपाईले कमाण्ड कस्तो देखिन्छ, साथै हालको ACL सेटिङहरू परिवर्तन गरेपछि getfacl आदेशको आउटपुट हेर्न सक्नुहुन्छ।

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

अब तपाईंले समूह ACL कसरी सेटअप गर्ने भनेर बुझ्नुभएको छ, प्रयोगकर्ताहरू र अन्य प्रयोगकर्ताहरूका लागि ACLs बुझ्न सजिलो छ। उदाहरणका लागि, आदेश setfacl -mu:linda:rwx /data /data डाइरेक्टरीमा linda प्रयोगकर्तालाई मालिक नबनाई वा हालको मालिकको असाइनमेन्ट परिवर्तन नगरी अनुमति दिन्छ।

टोली setfacl धेरै सुविधाहरू र विकल्पहरू छन्। एउटा विकल्प विशेष गरी महत्त्वपूर्ण छ, प्यारामिटर -R। यदि प्रयोग गरियो भने, विकल्पले सबै फाइलहरू र उपनिर्देशिकाहरूका लागि ACL सेट बनाउँछ जुन हाल डाइरेक्टरीमा अवस्थित छ जहाँ तपाईंले ACL सेट गर्नुभयो। अवस्थित डाइरेक्टरीहरूको लागि ACL हरू परिवर्तन गर्दा तपाईंले सधैं यो विकल्प प्रयोग गर्न सिफारिस गरिन्छ।

Default ACLs मा काम गर्नुहुन्छ

ACLs प्रयोग गर्ने फाइदाहरू मध्ये एक हो कि तपाइँ डाइरेक्टरीमा धेरै प्रयोगकर्ता वा समूहहरूलाई अनुमतिहरू प्रदान गर्न सक्नुहुन्छ। अर्को फाइदा यो हो कि तपाइँ पूर्वनिर्धारित ACL सँग काम गर्दा इनहेरिटेन्स सक्षम गर्न सक्नुहुन्छ।

पूर्वनिर्धारित ACL सेट गरेर, तपाईंले डाइरेक्टरीमा सिर्जना गरिएका सबै नयाँ वस्तुहरूको लागि सेट गरिने अनुमतिहरू निर्धारण गर्नुहुन्छ। सावधान रहनुहोस् कि पूर्वनिर्धारित ACL ले अवस्थित फाइलहरू र उपनिर्देशिकाहरूमा अनुमतिहरू परिवर्तन गर्दैन। तिनीहरूलाई परिवर्तन गर्न, तपाईंले सामान्य ACL पनि थप्न आवश्यक छ!

यो जान्न महत्त्वपूर्ण छ। यदि तपाइँ एउटै डाइरेक्टरी पहुँच गर्न धेरै प्रयोगकर्ताहरू वा समूहहरू कन्फिगर गर्न ACL प्रयोग गर्न चाहनुहुन्छ भने, तपाईंले ACL दुई पटक सेट गर्नुपर्छ। पहिलो प्रयोग setfacl -R -mहालको फाइलहरूको लागि ACL परिवर्तन गर्न। त्यसपछि प्रयोग गर्नुहोस् setfacl -md:सबै नयाँ तत्वहरूको हेरचाह गर्न जुन पनि सिर्जना गरिनेछ।

पूर्वनिर्धारित ACL सेट गर्न तपाईंले मात्र विकल्प थप्न आवश्यक छ d विकल्प पछि -m (अर्डर महत्त्वपूर्ण छ!) त्यसैले प्रयोग गर्नुहोस् setfacl -md:g:sales:rx /dataयदि तपाइँ /डेटा डाइरेक्टरीमा सिर्जना गरिएको जुनसुकै कुरा पढ्न र कार्यान्वयन गर्न समूह बिक्री चाहनुहुन्छ भने।

पूर्वनिर्धारित ACLs प्रयोग गर्दा, अरूको लागि ACL हरू सेट गर्न पनि उपयोगी हुन सक्छ। यसले सामान्यतया धेरै अर्थ राख्दैन किनभने तपाइँ अरूले प्रयोग गर्ने अनुमतिहरू पनि परिवर्तन गर्न सक्नुहुन्छ chmod। यद्यपि, तपाईं के गर्न सक्नुहुन्न chmod, हरेक नयाँ फाइलको लागि अन्य प्रयोगकर्ताहरूलाई प्रदान गरिनु पर्ने अधिकारहरू निर्दिष्ट गर्नु हो जुन कहिल्यै सिर्जना गरिएको छ। यदि तपाइँ अरूलाई /डेटामा सिर्जना गरिएका कुनै पनि अनुमतिहरू प्राप्त गर्नबाट रोक्न चाहनुहुन्छ भने उदाहरणको लागि प्रयोग गर्नुहोस् setfacl -md:o::- /data.

ACL र सामान्य अनुमतिहरू सधैं राम्रोसँग एकीकृत हुँदैनन्। यदि तपाईंले डाइरेक्टरीमा पूर्वनिर्धारित ACL लागू गर्नुभयो भने समस्याहरू उत्पन्न हुन सक्छन्, त्यसपछि वस्तुहरू त्यस डाइरेक्टरीमा थपिन्छन्, र त्यसपछि सामान्य अनुमतिहरू परिवर्तन गर्ने प्रयास गर्नुहोस्। सामान्य अनुमतिहरूमा लागू हुने परिवर्तनहरू ACL सिंहावलोकनमा राम्रोसँग प्रतिबिम्बित हुने छैनन्। समस्याहरूबाट बच्न, पहिले सामान्य अनुमतिहरू सेट गर्नुहोस्, त्यसपछि पूर्वनिर्धारित ACL हरू सेट गर्नुहोस् (र त्यसपछि तिनीहरूलाई फेरि परिवर्तन नगर्ने प्रयास गर्नुहोस्)।

ACLs प्रयोग गरेर उन्नत अधिकार व्यवस्थापनको उदाहरण

यस उदाहरणमा, तपाईंले पहिले सिर्जना गर्नुभएको /data/खाता र /data/sales डाइरेक्टरीहरू जारी राख्नुहुनेछ। अघिल्लो उदाहरणहरूमा, तपाईंले बिक्री समूहसँग /data/sales र खाता समूहसँग /data/account मा अनुमतिहरू छन् भनी सुनिश्चित गर्नुभयो।

पहिले, सुनिश्चित गर्नुहोस् कि खाता समूहले /data/sales डाइरेक्टरीमा पढ्ने अनुमति पाउँछ र बिक्री समूहले /data/account डाइरेक्टरीमा पढ्ने अनुमति पाउँछ।

तपाईंले त्यसपछि सबै नयाँ फाइलहरूमा सबै नयाँ वस्तुहरूको लागि सही अनुमतिहरू सेट गरिएको छ भनी सुनिश्चित गर्न पूर्वनिर्धारित ACL हरू सेट गर्नुहोस्।

टर्मिनल खोल्नुहोस्।
चलाउनुहोस् setfacl -mg:खाता:rx/data/sales и setfacl -mg:sales:rx /data/account.
चलाउनुहोस् getfaclसुनिश्चित गर्न को लागी अनुमतिहरु तपाईले चाहानु भएको तरिका सेट गरिएको थियो।
चलाउनुहोस् setfacl -md:g:खाता:rwx,g:sales:rx /data/salesबिक्री निर्देशिकाको लागि पूर्वनिर्धारित ACL सेट गर्न।
प्रयोग गरी /डेटा/खाता डाइरेक्टरीको लागि पूर्वनिर्धारित ACL थप्नुहोस् setfacl -md:g:sales:rwx,g:account:rx /data/account.
/data/sales मा नयाँ फाइल थपेर तपाईंको ACL सेटिङहरू प्रभावमा छन् भनी प्रमाणित गर्नुहोस्। कार्यान्वयन गर्नुहोस् टच /डेटा/सेल्स/नयाँ फाइल र कार्यान्वयन getfacl /data/sales/newfile हालको अनुमतिहरू जाँच गर्न।

umask को साथ पूर्वनिर्धारित अनुमतिहरू सेट गर्दै

माथि तपाईंले पूर्वनिर्धारित ACL हरूसँग कसरी काम गर्ने भनेर सिक्नुभयो। यदि तपाइँ ACL प्रयोग गर्नुहुन्न भने, त्यहाँ एक शेल विकल्प छ जुन तपाइँले प्राप्त गर्ने पूर्वनिर्धारित अनुमतिहरू निर्धारण गर्दछ: उमास्क (रिभर्स मास्क)। यस खण्डमा, तपाइँ कसरी पूर्वनिर्धारित अनुमतिहरू परिवर्तन गर्ने सिक्नुहुनेछ उमास्क.

तपाईंले नयाँ फाइल सिर्जना गर्दा, केही पूर्वनिर्धारित अनुमतिहरू सेट गरिएका छन् भन्ने कुरा तपाईंले याद गर्नुभएको होला। यी अनुमतिहरू सेटिङद्वारा निर्धारण गरिन्छ उमास्क। यो शेल सेटिङ लगइनमा सबै प्रयोगकर्ताहरूमा लागू हुन्छ। प्यारामिटर मा उमास्क संख्यात्मक मान प्रयोग गरिन्छ, जुन अधिकतम अनुमतिहरूबाट घटाइन्छ जुन फाइलको लागि स्वचालित रूपमा सेट गर्न सकिन्छ; फाइलहरूको लागि अधिकतम सेटिङ 666 हो र डाइरेक्टरीहरूको लागि 777 हो।

यद्यपि, यस नियममा केही अपवादहरू लागू हुन्छन्। तपाईं सेटिङहरूको पूर्ण सिंहावलोकन पाउन सक्नुहुन्छ उमास्क तलको तालिकामा।

मा प्रयोग गरिएका संख्याहरू मध्ये उमास्क, आदेशमा संख्यात्मक तर्कहरू जस्तै chmod, पहिलो अंकले प्रयोगकर्ताको अनुमतिलाई जनाउँछ, दोस्रो अंकले समूहको अनुमतिलाई जनाउँछ, र अन्तिमले अरूको लागि सेट गरिएको पूर्वनिर्धारित अनुमतिहरूलाई जनाउँछ। अर्थ उमास्क पूर्वनिर्धारित 022 ले सबै नयाँ फाइलहरूको लागि 644 र तपाईंको सर्भरमा सिर्जना गरिएका सबै नयाँ निर्देशिकाहरूको लागि 755 दिन्छ।

सबै संख्यात्मक मानहरूको पूर्ण सिंहावलोकन उमास्क र तलको तालिकामा तिनीहरूको नतिजाहरू।

umask सेटिङले कसरी काम गर्छ भनेर हेर्नको लागि एक सजिलो तरिका निम्नानुसार छ: फाइलको पूर्वनिर्धारित अनुमतिहरू 666 मा सेट गरी सुरु गर्नुहोस् र प्रभावकारी अनुमतिहरू प्राप्त गर्न umask घटाउनुहोस्। डाइरेक्टरी र 777 को पूर्वनिर्धारित अनुमतिहरूको लागि पनि त्यस्तै गर्नुहोस्।

उमास्क सेटिङ परिवर्तन गर्ने दुई तरिकाहरू छन्: सबै प्रयोगकर्ताहरू र व्यक्तिगत प्रयोगकर्ताहरूको लागि। यदि तपाइँ सबै प्रयोगकर्ताहरूको लागि umask सेट गर्न चाहनुहुन्छ भने, तपाइँले /etc/profile मा निर्दिष्ट गरिए अनुसार, शेल वातावरण फाइलहरू सुरु गर्दा umask सेटिङलाई ध्यानमा राखिएको छ भनी सुनिश्चित गर्नुपर्छ। सही दृष्टिकोण भनेको /etc/profile.d डाइरेक्टरीमा umask.sh नामक शेल स्क्रिप्ट सिर्जना गर्नु हो र तपाईंले त्यो शेल लिपिमा प्रयोग गर्न चाहनु भएको umask निर्दिष्ट गर्नुहोस्। यदि यो फाइलमा umask परिवर्तन गरिएको छ भने, यो सर्भरमा लगइन गरेपछि सबै प्रयोगकर्ताहरूमा लागू हुन्छ।

/etc/profile र सम्बन्धित फाइलहरू मार्फत umask सेट गर्ने विकल्प, जहाँ यो लगइन गर्ने सबै प्रयोगकर्ताहरूमा लागू हुन्छ, प्रत्येक प्रयोगकर्ताको गृह डाइरेक्टरीमा सिर्जना गरिएको .profile नामक फाइलमा umask सेटिङहरू परिवर्तन गर्नु हो।

यस फाइलमा लागू गरिएका सेटिङहरू व्यक्तिगत प्रयोगकर्तामा मात्र लागू हुन्छन्; यदि तपाईंलाई थप विवरण चाहिन्छ भने यो राम्रो तरिका हो। मलाई व्यक्तिगत रूपमा रूट प्रयोगकर्ताको लागि पूर्वनिर्धारित umask 027 मा परिवर्तन गर्न यो सुविधा मनपर्दछ जबकि सामान्य प्रयोगकर्ताहरू 022 को पूर्वनिर्धारित umask सँग चलिरहेका छन्।

विस्तारित प्रयोगकर्ता विशेषताहरूसँग काम गर्दै

यो लिनक्स अनुमति मा अन्तिम खण्ड छ।

अनुमतिहरूसँग काम गर्दा, त्यहाँ सधैँ प्रयोगकर्ता वा समूह वस्तुहरू र प्रयोगकर्ता वा समूह वस्तुहरूको फाइल वा डाइरेक्टरीमा भएका अनुमतिहरू बीचको सम्बन्ध हुन्छ। लिनक्स सर्भरमा फाइलहरू सुरक्षित गर्नको लागि वैकल्पिक विधि विशेषताहरूसँग काम गर्नु हो।
प्रयोगकर्ताले फाइलमा पहुँच गरे पनि विशेषताहरूले तिनीहरूको काम गर्छ।

ACL को रूपमा, फाइल विशेषताहरूले विकल्प समावेश गर्न आवश्यक हुन सक्छ माउन्ट गर्नुहोस्.

यो एक विकल्प हो user_xattr। यदि तपाईले विस्तारित प्रयोगकर्ता विशेषताहरूसँग काम गर्दा "सञ्चालन समर्थित छैन" सन्देश प्राप्त गर्नुभयो भने, सेट गर्न निश्चित हुनुहोस् माउन्ट गर्नुहोस् फाइलमा /etc/fstab।

धेरै विशेषताहरू दस्तावेज छन्। केही विशेषताहरू उपलब्ध छन् तर अझै लागू गरिएको छैन। तिनीहरूलाई प्रयोग नगर्नुहोस्; तिनीहरूले तपाईंलाई केही ल्याउने छैनन्।

तल तपाईंले लागू गर्न सक्ने सबैभन्दा उपयोगी विशेषताहरू छन्:

A यो विशेषताले फाइलको फाइल पहुँच समय परिवर्तन नहुने सुनिश्चित गर्दछ।
सामान्यतया, प्रत्येक पटक फाइल खोल्दा, फाइल पहुँच गरिएको समय फाइलको मेटाडेटामा रेकर्ड हुनुपर्छ। यसले कार्यसम्पादनमा नकारात्मक असर पार्छ; त्यसैले, नियमित रूपमा पहुँच गरिएका फाइलहरूको लागि, विशेषता A यो सुविधा असक्षम गर्न प्रयोग गर्न सकिन्छ।

a यो विशेषताले तपाईंलाई फाइल थप्न तर हटाउन अनुमति दिन्छ।

c यदि तपाईँले भोल्युम-स्तर सङ्कुचनलाई समर्थन गर्ने फाइल प्रणाली प्रयोग गर्दै हुनुहुन्छ भने, यो फाइल विशेषताले पहिलो पटक सङ्कुचन संयन्त्र सक्षम भएपछि फाइल कम्प्रेस गरिएको सुनिश्चित गर्दछ।

D यो विशेषताले फाइलहरूमा परिवर्तनहरू पहिले क्यास गर्नुको सट्टा डिस्कमा तुरुन्तै लेखिएको सुनिश्चित गर्दछ। यो महत्त्वपूर्ण डाटाबेस फाइलहरूमा उपयोगी विशेषता हो कि तिनीहरू फाइल क्यास र हार्ड ड्राइभको बीचमा हराउँदैनन्।

d यो विशेषताले डम्प उपयोगिता प्रयोग भएको ठाउँमा फाइल बचत हुने छैन भनी सुनिश्चित गर्दछ।

I यो विशेषताले डाइरेक्टरीको लागि अनुक्रमणिका सक्षम गर्दछ जसमा यो सक्षम छ। यसले Ext3 जस्ता आदिम फाइल प्रणालीहरूको लागि छिटो फाइल पहुँच प्रदान गर्दछ जसले छिटो फाइल पहुँचको लागि B-tree डाटाबेस प्रयोग गर्दैन।

i यो विशेषताले फाइललाई अपरिवर्तनीय बनाउँछ। त्यसकारण, फाइलमा कुनै परिवर्तन गर्न सकिँदैन, जुन फाइलहरूका लागि उपयोगी छ जसलाई थप सुरक्षा चाहिन्छ।

j यो विशेषताले सुनिश्चित गर्दछ कि, ext3 फाइल प्रणालीमा, फाइल पहिले जर्नलमा र त्यसपछि हार्ड डिस्कमा डाटा ब्लकहरूमा लेखिएको छ।

s ब्लकहरू अधिलेखन गर्नुहोस् जसमा फाइल मेटाएपछि फाइल 0s मा बचत गरिएको थियो। यसले यो सुनिश्चित गर्दछ कि फाइल एक पटक मेटिए पछि पुन: भण्डारण गर्न सकिँदैन।

u यो विशेषताले मेटाउने बारे जानकारी भण्डार गर्छ। यसले तपाईंलाई मेटाइएका फाइलहरू उद्धार गर्न यस जानकारीसँग काम गर्ने उपयोगिता विकास गर्न अनुमति दिन्छ।

यदि तपाइँ विशेषताहरू लागू गर्न चाहनुहुन्छ भने, तपाइँ आदेश प्रयोग गर्न सक्नुहुन्छ कुराकानी। उदाहरणका लागि, प्रयोग गर्नुहोस् chattr +s somefilesomefile मा विशेषताहरू लागू गर्न। एउटा विशेषता हटाउन आवश्यक छ? त्यसपछि प्रयोग गर्नुहोस् chattr-s somefileर यसलाई हटाइनेछ। हाल लागू गरिएका सबै विशेषताहरूको सिंहावलोकन प्राप्त गर्न, आदेश प्रयोग गर्नुहोस् lsattr.

सारांश

यस लेखमा, तपाईंले अनुमतिहरूसँग कसरी काम गर्ने भनेर सिक्नुभयो। तपाईंले तीन आधारभूत अनुमतिहरू, उन्नत अनुमतिहरू, र फाइल प्रणालीमा ACLs कसरी लागू गर्ने बारे पढ्नुभयो। तपाईंले पूर्वनिर्धारित अनुमतिहरू लागू गर्न umask विकल्प कसरी प्रयोग गर्ने भनेर पनि सिक्नुभयो। यस लेखको अन्त्यमा, तपाईंले फाइल प्रणाली सुरक्षाको अतिरिक्त तह लागू गर्न प्रयोगकर्ता-विस्तारित विशेषताहरू कसरी प्रयोग गर्ने भनेर सिक्नुभयो।

यदि तपाईंलाई यो अनुवाद मनपर्‍यो भने, कृपया टिप्पणीहरूमा यसको बारेमा लेख्नुहोस्। उपयोगी अनुवादहरू गर्न थप प्रेरणा हुनेछ।

लेखमा केही टाइपो र व्याकरणीय त्रुटिहरू सच्याइएको छ। राम्रो पठनीयताका लागि केही भारी अनुच्छेदहरूलाई सानोमा घटाइयो।

यसको सट्टा "निर्देशिकामा प्रशासनिक अधिकार भएको व्यक्तिले मात्र कार्यान्वयन अनुमति लागू गर्न सक्छ।" "निर्देशिकामा लेख्ने अनुमति भएका व्यक्तिले मात्र कार्यान्वयन अनुमति लागू गर्न सक्छ" मा फिक्स गरियो, जुन अझ सही हुनेछ।

टिप्पणीहरूको लागि धन्यवाद berez.

प्रतिस्थापित:
यदि तपाइँ प्रयोगकर्ताको मालिक हुनुहुन्न भने, शेलले तपाइँ समूहको सदस्य हुनुहुन्छ वा छैन भनेर जाँच गर्नेछ, जसलाई फाइलको समूह पनि भनिन्छ।

माथि:
यदि तपाइँ फाइलको मालिक हुनुहुन्न भने, शेलले तपाइँ फाइलमा अनुमतिहरू भएको समूहको सदस्य हुनुहुन्छ कि भनेर जाँच गर्नेछ। यदि तपाईं यस समूहको सदस्य हुनुहुन्छ भने, तपाईंले समूहले सेट गरेको अनुमतिहरूसँग फाइल पहुँच गर्नुहुनेछ, र शेलले जाँच गर्न बन्द गर्नेछ।

तपाइँको टिप्पणी को लागी धन्यवाद CryptoPirate

स्रोत: www.habr.com

लिनक्समा अनुमतिहरू (chown, chmod, SUID, GUID, स्टिकी बिट, ACL, umask)