Дозволе у ​​Линук-у (цховн, цхмод, СУИД, ГУИД, стицки бит, АЦЛ, умаск)

Здраво свима. Ово је превод чланка из књиге РедХат РХЦСА РХЦЕ 7 РедХат Ентерприсе Линук 7 ЕКС200 и ЕКС300.

гурање: Надам се да ће чланак бити користан не само за почетнике, већ ће помоћи и искуснијим администраторима да организују своје знање.

Па идемо.

За приступ датотекама у Линук-у користе се дозволе. Ове дозволе се додељују трима објектима: власнику датотеке, власнику групе и другом објекту (то јест, свима осталима). Овај чланак ће вас научити како да примените дозволе.

Чланак почиње прегледом основних концепата, а затим разматра посебне дозволе и листе контроле приступа (АЦЛ). Крај овог чланка покрива подешавање подразумеваних дозвола путем умаска, као и управљање проширеним корисничким атрибутима.

Управљање власништвом над датотекама

Пре него што разговарате о дозволама, требало би да будете свесни улоге власника датотеке и директоријума. Власништво над датотекама и директоријумима је од виталног значаја за рад са дозволама. У овом одељку ћете прво научити како можете видети власника. Затим ћете научити како да промените власника и корисника групе за датотеке и директоријуме.

Приказ власника датотеке или директоријума

У Линуку, свака датотека и сваки директоријум имају два власника: корисника и власника групе.

Ови власници се постављају када се креира датотека или директоријум. Корисник који креира датотеку постаје власник ове датотеке, а примарна група којој припада исти корисник такође постаје власник ове датотеке. Да би утврдио да ли ви као корисник имате права приступа датотеци или директоријуму, љуска проверава власништво.

Ово се дешава следећим редоследом:

1. Схелл проверава да ли сте власник датотеке којој желите да приступите. Ако сте ви тај власник, добијате дозволе и љуска престаје да проверава.
2. Ако нисте власник датотеке, љуска ће проверити да ли сте члан групе која има дозволе за датотеку. Ако сте члан ове групе, приступићете датотеци са дозволама које су постављене за групу, а љуска ће престати да проверава.
3. Ако нисте ни корисник ни власник групе, добијате друга корисничка права.

Да бисте видели тренутне задатке власника, можете користити команду лс -л. Ова команда приказује корисника и власника групе. Испод можете видети подешавања власника за директоријуме у /хоме директоријуму.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

Са командом ls можете приказати власника датотека у датом директоријуму. Понекад може бити корисно да добијете листу свих датотека на систему које имају датог корисника или групу као власника. За ово можете користити наћи. Расправа пронађи -корисника може се користити за ову сврху. На пример, следећа команда приказује све датотеке које имају линда као власника:

find / -user linda

Такође можете користити наћи да бисте тражили датотеке које имају одређену групу као власника.

На пример, следећа команда тражи све датотеке које припадају групи Корисници:

find / -group users

Промена власника

Да бисте применили одговарајуће дозволе, прва ствар коју треба узети у обзир је власништво. За ово постоји команда цховн. Синтаксу ове команде је лако разумети:

chown кто что

На пример, следећа команда мења власника /хоме/аццоунт директоријума у ​​корисника линда:

chown linda /home/account

Тим цховн има неколико опција, од којих је једна посебно корисна: -R. Можете да претпоставите шта ради јер је ова опција доступна и за многе друге команде. Ово вам омогућава да поставите власника рекурзивно, што вам омогућава да поставите власника тренутног директоријума и свега испод њега. Следећа команда мења власника /хоме директоријума и свега под њим у корисника линда:

Сада власници изгледају овако:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Хајде да урадимо:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

Сада је корисник Лиса власник директоријума налога:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

Промени власника групе

Постоје два начина да промените власништво над групом. То можете учинити користећи цховн, али постоји посебна команда под називом цхгрп, који обавља овај посао. Ако желите да користите команду цховн, користи . или : пре имена групе.

Следећа команда мења било ког власника групе /хоме/аццоунт у групу налога:

chown .account /home/account

можете користити цховн да промените власника корисника и/или групе на више начина. Ево неколико примера:

• цховн лиса мифиле1 поставља корисника лиса као власника датотеке мифиле1.
• цховн лиса.салес мифиле поставља корисника лиса као власника датотеке мифиле, а такође поставља продајну групу као власника исте датотеке.
• цховн лиса:салес мифиле исто као и претходни тим.
• цховн .салес мифиле Поставља продајну групу да буде власник мифиле-а без промене власника корисника.
• цховн :салес мифиле исто као и претходни тим.

Можете користити команду цхгрпда промените власника групе. Размотрите следећи пример где можете да користите цхгрп Подесите власника именика налога на продајну групу:

chgrp .sales /home/account

Као и са цховн, можете користити опцију -R с цхгрп, а такође рекурзивно промените власника групе.

Подразумевано разумевање власника

Можда сте приметили да када корисник креира датотеку, примењује се подразумевано власништво.
Корисник који креира датотеку аутоматски постаје власник те датотеке, а примарна група тог корисника аутоматски постаје власник те датотеке. Обично је ово група која је наведена у датотеци /етц/пассвд као примарна група корисника. Међутим, ако је корисник члан више група, може променити ефективну примарну групу.

Да би приказао тренутну ефективну примарну групу, корисник може користити команду групе:

[root@server1 ~]# groups lisa
lisa : lisa account sales

Ако тренутни корисник линда жели да промени ефективну примарну групу, он ће користити команду невгрпнакон чега следи назив групе коју жели да постави као нову ефективну примарну групу. Након употребе команде невгрп примарна група ће бити активна све док корисник не унесе команду излаз или се неће одјавити са система.

Ево како корисник линда користи ову команду, при чему је примарна група продаја:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

Након промене тренутне примарне групе, све нове датотеке које креира корисник имаће ту групу као власника групе. Да бисте се вратили на првобитно подешавање примарне групе, користите излаз.

Да бисте могли да користите команду невгрп, корисник мора бити члан групе коју жели да користи као примарну. Поред тога, групна лозинка се може користити за групу помоћу команде гпассвд. Ако корисник користи команду невгрпали није члан циљне групе, љуска тражи лозинку групе. Када унесете исправну лозинку групе, биће постављена нова ефективна примарна група.

Управљање основним правима

Систем дозвола за Линук измишљен је 1970-их. Пошто су рачунарске потребе тих година биле ограничене, основни систем дозвола је био прилично ограничен. Овај систем дозвола користи три дозволе које се могу применити на датотеке и директоријуме. У овом одељку ћете научити како да користите и промените ове дозволе.

Разумевање дозвола за читање, писање и извршавање

Три главне дозволе вам омогућавају да читате, пишете и извршавате датотеке. Ефекат ових дозвола се разликује када се примењују на датотеке или директоријуме. Када се примени на датотеку, дозвола за читање вам даје право да отворите датотеку за читање. Дакле, можете читати њен садржај, али то значи да ваш рачунар може отворити датотеку да би нешто урадио са њом.

Програмска датотека која захтева приступ библиотеци мора, на пример, да има приступ за читање те библиотеке. То значи да је дозвола за читање најосновнија дозвола која вам је потребна за рад са датотекама.

Када се примени на директоријум, читање вам омогућава да прикажете садржај тог директоријума. Требало би да будете свесни да вам ова дозвола не дозвољава читање датотека у директоријуму. Линук систем дозвола не познаје наслеђивање, а једини начин да се прочита датотека је коришћење дозвола за читање те датотеке.

Као што вероватно можете да претпоставите, дозвола за писање, када се примени на датотеку, дозвољава писање у датотеку. Другим речима, омогућава вам да промените садржај постојећих датотека. Међутим, не дозвољава вам да креирате или бришете нове датотеке или да мењате дозволе за датотеке. Да бисте то урадили, морате да дате дозволу за писање у директоријум у коме желите да креирате датотеку. У директоријумима, ова дозвола вам такође омогућава да креирате и бришете нове поддиректорије.

Дозвола за извршавање је оно што вам је потребно да бисте извршили датотеку. Никада се неће инсталирати подразумевано, што чини Линукс скоро потпуно имуним на вирусе. Само неко са приступом за писање у директоријум може да примени дозволу за извршавање.

Следеће сумира коришћење основних дозвола:

Коришћење цхмод-а

За управљање правима користите команду цхмод. Користећи цхмод можете подесити дозволе за корисника, групу и друго. Ову команду можете користити у два режима: релативни режим и апсолутни режим. У апсолутном режиму, три цифре се користе за постављање основних дозвола.

Када постављате дозволе, израчунајте вредност која вам је потребна. Ако желите да подесите читање, писање и извршавање за корисника, читање и извршавање за групу и читање и извршавање за друге у /сомефиле онда користите следећу команду цхмод:

chmod 755 /somefile

Када користите цхмод На овај начин, све тренутне дозволе се замењују дозволама које сте поставили.

Ако желите да промените дозволе у ​​односу на тренутне дозволе, можете да користите цхмод у релативном режиму. Користећи цхмод у релативном режиму радите са три индикатора да бисте назначили шта желите да урадите:

1. Прво одредите коме желите да промените дозволе. Да бисте то урадили, можете бирати између корисника (u), група (g) и други (o).
2. Затим користите изјаву да додате или уклоните дозволе из тренутног режима, или их поставите апсолутно.
3. На крају користите r, w и xда одредите које дозволе желите да поставите.

Када мењате дозволе у ​​релативном режиму, можете прескочити део „до“ да бисте додали или уклонили дозволу за све објекте. На пример, ова команда додаје дозволу за извршавање за све кориснике:

chmod +x somefile

Када радите у релативном режиму, можете користити и сложеније команде. На пример, ова команда додаје дозволу за писање групи и уклања дозволу за читање за друге:

chmod g+w,o-r somefile

Када користите цхмод -Р о+рк /подаци постављате дозволу за извршавање за све директоријуме, као и за датотеке у директоријуму /дата. Да бисте подесили дозволу за извршавање само за директоријуме, а не за датотеке, користите цхмод -Р о+ рКс /подаци.

Велика слова Кс осигуравају да датотекама неће бити дата дозвола за извршавање осим ако датотека већ није поставила дозволу за извршавање за неке објекте. Ово чини Кс паметнијим начином за решавање дозвола за извршење; ово ће избећи постављање ове дозволе за датотеке где то није потребно.

Проширена права

Поред основних дозвола о којима сте управо прочитали, Линук такође има скуп напредних дозвола. Ово нису дозволе које постављате подразумевано, али понекад пружају користан додатак. У овом одељку ћете научити шта су и како да их подесите.

Разумевање СУИД-а, ГУИД-а и проширених права лепљивог бита

Постоје три напредне резолуције. Прва је дозвола за постављање корисничког ИД-а (СУИД). У неким посебним случајевима, можда ћете желети да примените ову дозволу на извршне датотеке. Подразумевано, корисник који покреће извршни фајл покреће ту датотеку са сопственим дозволама.

За редовне кориснике то обично значи да је употреба програма ограничена. Међутим, у неким случајевима, кориснику су потребне посебне дозволе само за обављање одређеног задатка.

Размотрите, на пример, ситуацију у којој корисник треба да промени своју лозинку. Да би то урадио, корисник мора да упише своју нову лозинку у датотеку /етц/схадов. Међутим, у ову датотеку не могу писати корисници који нису роот:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

СУИД дозвола нуди решење за овај проблем. У услужном програму /уср/бин/пассвд, ова дозвола се подразумевано примењује. То значи да када се лозинка промени, корисник привремено добија роот привилегије, што му омогућава да пише у /етц/схадов датотеку. Можете видети СУИД дозволу са лс -л као s у положају где бисте иначе очекивали да видите x за прилагођене дозволе:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

СУИД дозвола може изгледати корисно (а у неким случајевима и јесте), али је и потенцијално опасна. Ако се погрешно користи, можете случајно дати роот дозволе. Због тога препоручујем да га користите само са великим опрезом.

Већина администратора никада неће морати да га користи; видећете га само у неким датотекама где би оперативни систем требало да га подразумевано подеси.

Друга специјална дозвола је ИД групе (СГИД). Ова дозвола има два ефекта. Када се примени на извршну датотеку, даје кориснику који извршава датотеку дозволе власника групе те датотеке. Дакле, СГИД може да уради мање-више исту ствар као СУИД. Међутим, СГИД се готово не користи за ову сврху.

Као и код СУИД дозволе, СГИД се примењује на неке системске датотеке као подразумевана поставка.

Када се примени на директоријум, СГИД може бити користан јер га можете користити да поставите подразумеваног власника групе за датотеке и поддиректоријуме креиране у том директоријуму. Подразумевано, када корисник креира датотеку, његова ефективна примарна група се поставља као власник групе за ту датотеку.

Ово није увек веома корисно, посебно зато што корисници Ред Хат/ЦентОС-а имају своју примарну групу подешену на групу са истим именом као и корисник, а чији је корисник једини члан. Према томе, подразумевано ће датотеке које корисник креира бити групно дељене.

Замислите ситуацију у којој корисници линда и лори раде у рачуноводству и чланови су групе рачун. Ови корисници су подразумевано чланови приватне групе чији су једини чланови. Међутим, оба корисника су чланови групе налога, али и као параметар секундарне групе.

Подразумевана ситуација је да када било који од ових корисника креира датотеку, примарна група постаје власник. Стога, подразумевано, линда не може да приступи датотекама које је креирао лори, и обрнуто. Међутим, ако креирате дељени групни директоријум (рецимо /гроупс/аццоунт) и уверите се да је СГИД дозвола примењена на тај директоријум и да је налог групе подешен на Власник групе за тај директоријум, све датотеке креиране у том директоријуму и све његове поддиректоријуми , такође добијате групни налог као подразумеваног власника групе.

Из тог разлога, СГИД дозвола је веома корисна дозвола за инсталирање у директоријумима јавних група.

СГИД дозвола је приказана у излазу лс -л као s на позицији на којој бисте обично пронашли дозволу за групно извршавање:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

Трећа од посебних дозвола је лепљиви бит. Ова дозвола је корисна за заштиту датотека од случајног брисања у окружењу где више корисника има приступ за писање у истом директоријуму. Ако се користи лепљиви бит, корисник може да избрише датотеку само ако је власник датотеке или директоријума који садржи датотеку. Из тог разлога, то је подразумевана дозвола за /тмп директоријум и може бити корисна и за директоријуме јавних група.

Без лепљивог бита, ако корисник може да креира датотеке у директоријуму, може и да избрише датотеке из тог директоријума. У окружењу јавне групе ово може бити неугодно. Замислите кориснике линда и лори, који обе имају дозволе за писање у директоријум /дата/аццоунт и добијају те дозволе кроз чланство у групи налога. Стога, линда може избрисати датотеке које је креирао лори, и обрнуто.

Када примените лепљиви бит, корисник може да избрише датотеке само ако је испуњен један од следећих услова:

• Корисник је власник датотеке;
• Корисник је власник директоријума у ​​коме се датотека налази.

Када користите лс -л, можете видети лепљиво као t на позицији на којој обично видите дозволу за извршавање за друге:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

Примена проширених права

Да бисте применили СУИД, СГИД и лепљиви бит, такође можете да користите цхмод. СУИД има нумеричку вредност 4, СГИД има нумеричку вредност 2, а лепљиви бит има нумеричку вредност 1.

Ако желите да примените ове дозволе, морате да додате аргумент од четири карактера цхмод, чија се прва цифра односи на посебне дозволе. Следећи ред ће, на пример, додати СГИД дозволу у директоријум и поставити рвк за корисника и рк за групу и друге:

chmod 2755 /somedir

Ово је прилично непрактично ако треба да видите тренутне дозволе које су постављене пре рада са њима цхмод у апсолутном режиму. (Ризикујете да препишете дозволе ако то не урадите.) Зато препоручујем рад у релативном режиму ако треба да примените било коју од посебних дозвола:

1. За СУИД употребу цхмод у+с.
2. За СГИД употребу цхмод г+с.
3. За употребу лепљивих битова цхмод +тнакон чега следи назив датотеке или директоријума за који желите да поставите дозволе.

У табели је сажето све што треба да знате о управљању посебним дозволама.

Пример рада са посебним правима

У овом примеру користите посебне дозволе да бисте олакшали члановима групе да деле датотеке у дељеном директоријуму групе. Додељујете ИД-бит постављеног ИД-а групе, као и лепљиви бит, и видите да када се поставе, додају се функције које олакшавају члановима групе да раде заједно.

1. Отворите терминал где сте ви корисник линда. Можете креирати корисника помоћу команде Линда, додајте лозинку пассвд Линда.
2. Направите директоријум /дата у корену и поддиректоријум /дата/салес помоћу команде мкдир -п /дата/салес. Извршити цд /дата/салесда одете у продајни именик. Извршити тоуцх линда1 и тоуцх линда2да креирате две празне датотеке у власништву линда.
3. Трцати су-лиса да бисте тренутног корисника пребацили на корисника лиса, која је такође члан продајне групе.
4. Трцати цд /дата/салес и из овог директоријума покрените лс -л. Видећете две датотеке које је креирао корисник линда и припадају групи линда. Извршити рм -ф линда*. Ово ће избрисати обе датотеке.
5. Трцати додирни лиса1 и додирни лиса2да бисте креирали две датотеке које су у власништву корисника лиса.
6. Трцати су — да ескалирате своје привилегије на роот.
7. Трцати цхмод г+с,о+т /дата/салесда бисте подесили бит идентификатора групе (ГУИД) као и лепљиви бит у директоријуму дељене групе.
8. Трцати су-линда. Онда тоуцх линда3 и тоуцх линда4. Сада би требало да видите да су две датотеке које сте креирали у власништву продајне групе, која је власник групе директоријума /дата/салес.
9. Трцати рм -рф лиса*. Стицки бит спречава брисање ових датотека као корисник линда јер нисте власник ових датотека. Имајте на уму да ако је корисник линда власник /дата/салес директоријума, он свеједно може обрисати ове датотеке!

Управљање АЦЛ-ом (сетфацл, гетфацл) у Линук-у

Иако напредна права о којима смо горе говорили додају корисну функционалност начину на који се Линук бави дозволама, не дозвољава вам да доделите дозволе више од једног корисника или једној групи у једној датотеци.

Листе контроле приступа нуде ову функцију. Они такође омогућавају администраторима да постављају подразумеване дозволе на сложен начин при чему сет дозвола може да варира између директоријума.

Разумевање АЦЛ-ова

Иако АЦЛ подсистем додаје одличну функционалност вашем серверу, он има један недостатак: не подржавају га сви услужни програми. Због тога можете изгубити подешавања АЦЛ-а приликом копирања или премештања датотека, а софтвер за прављење резервних копија можда неће направити резервну копију поставки АЦЛ-а.

Услужни програм тар не подржава АЦЛ-ове. Да бисте били сигурни да се поставке АЦЛ-а не изгубе приликом прављења резервне копије, користите звезда уместо катрана. звезда ради са истим параметрима као тар; једноставно додаје подршку за АЦЛ подешавања.

Такође можете направити резервну копију АЦЛ-а користећи гетфацл, који се може вратити помоћу наредбе сетфацл. Да бисте направили резервну копију, користите гетфацл -Р /директоријум > датотека.ацлс. Да бисте вратили подешавања из датотеке резервне копије, користите сетфацл --ресторе=филе.ацл.

Недостатак подршке за неке алате не би требало да представља проблем. АЦЛ-ови се често примењују на директоријуме као структурна мера, а не на појединачне датотеке.
Стога их неће бити много, већ само неколико, примењених на паметним местима у систему датотека. Стога је релативно лако вратити оригиналне АЦЛ-ове са којима сте радили, чак и ако их ваш софтвер за прављење резервних копија не подржава.

Припрема система датотека за АЦЛ-ове

Пре него што почнете да радите са АЦЛ-овима, можда ћете морати да припремите свој систем датотека да подржава АЦЛ-ове. Пошто метаподаци система датотека морају бити проширени, не постоји увек подразумевана подршка за АЦЛ-ове на систему датотека. Ако добијете поруку „операција није подржана“ када конфигуришете АЦЛ-ове за систем датотека, ваш систем датотека можда не подржава АЦЛ-ове.

Да бисте ово поправили, потребно је да додате опцију ацл моунт у /етц/фстаб датотеци тако да је систем датотека подразумевано монтиран са подршком за АЦЛ.

Промена и преглед подешавања АЦЛ-а помоћу сетфацл и гетфацл

Да бисте подесили АЦЛ, потребна вам је команда сетфацл. Да бисте видели тренутна подешавања АЦЛ-а која су вам потребна гетфацл. Тим лс -л не приказује постојеће АЦЛ-ове; једноставно показује + након листе дозвола, што указује да се АЦЛ-ови примењују и на датотеку.

Пре конфигурисања АЦЛ-ова, увек је добра идеја да прикажете тренутна подешавања АЦЛ-а помоћу гетфацл. Испод примера можете видети тренутне дозволе као што је приказано са лс -л, а такође као што је приказано са гетфацл. Ако погледате довољно пажљиво, видећете да су приказане информације потпуно исте.

[root@server1 /]# ls -ld /dir
drwxr-xr-x. 2 root root 6 Feb 6 11:28 /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

Као резултат извршења команде гетфацл У наставку можете видети да су дозволе приказане за три различита објекта: корисника, групе и друге. Сада додајмо АЦЛ да бисмо продајној групи дали дозволе за читање и извршавање. Команда за ово је сетфацл -мг:салес:рк /дир. У овом тиму -m означава да треба променити тренутна подешавања АЦЛ-а. Након тога г:салес:рк говори команди да постави АЦЛ за читање и извршавање (rx) за групу (g) продаја. Испод можете видети како команда изгледа, као и излаз гетфацл команде након промене тренутних подешавања АЦЛ-а.

[root@server1 /]# setfacl -m g:sales:rx /dir
[root@server1 /]# getfacl /dir
getfacl: Removing leading '/' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

Сада када разумете како да подесите групни АЦЛ, лако је разумети АЦЛ-ове за кориснике и друге кориснике. На пример, команда сетфацл -му:линда:рвк /дата Даје дозволе кориснику линда у директоријуму /дата без да га учини власником или промени доделу тренутног власника.

Тим сетфацл има много функција и опција. Једна опција је посебно важна, параметар -R. Ако се користи, опција прави АЦЛ поставку за све датотеке и поддиректоријуме који тренутно постоје у директоријуму где сте поставили АЦЛ. Препоручује се да увек користите ову опцију када мењате АЦЛ-ове за постојеће директоријуме.

Рад са подразумеваним АЦЛ-овима

Једна од предности коришћења АЦЛ-ова је та што можете доделити дозволе вишеструким корисницима или групама у директоријуму. Још једна предност је што можете омогућити наслеђивање док радите са подразумеваним АЦЛ-ом.

Постављањем подразумеваног АЦЛ-а, одредићете дозволе које ће бити постављене за све нове ставке креиране у директоријуму. Имајте на уму да подразумевани АЦЛ не мења дозволе постојећих датотека и поддиректоријума. Да бисте их променили, морате додати и обичан АЦЛ!

Ово је важно знати. Ако желите да користите АЦЛ за конфигурисање више корисника или група за приступ истом директоријуму, морате двапут да подесите АЦЛ. Прва употреба сетфацл -Р -мда промените АЦЛ за тренутне датотеке. Затим користите сетфацл -мд:да води рачуна о свим новим елементима који ће такође бити створени.

Да бисте поставили подразумевани АЦЛ, само треба да додате опцију d опција после -m (ред је важан!). Зато користите сетфацл -мд:г:салес:рк /датаако желите да групна продаја чита и извршава све што ће икада бити креирано у директоријуму /дата.

Када користите подразумеване АЦЛ-ове, такође може бити корисно да поставите АЦЛ-ове за друге. Обично ово нема много смисла јер можете променити и дозволе за друге кориснике цхмод. Међутим, шта не можете цхмод, је да одредите права која треба да буду додељена другим корисницима за сваку нову датотеку која је икада направљена. Ако желите да спречите друге да добију било какве дозволе за било шта креирано у /дата, на пример, користите сетфацл -мд:о::- /дата.

АЦЛ-ови и редовне дозволе нису увек добро интегрисане. Проблеми могу настати ако примените подразумевани АЦЛ на директоријум након што додате ставке у тај директоријум, а затим покушате да промените нормалне дозволе. Промене које се односе на редовне дозволе неће се добро одразити у прегледу АЦЛ-а. Да бисте избегли проблеме, прво поставите нормалне дозволе, а затим подесите подразумеване АЦЛ-ове (и након тога покушајте да их више не мењате).

Пример управљања проширеним правима помоћу АЦЛ-ова

У овом примеру, наставићете да радите са директоријумима /дата/аццоунт и /дата/салес које сте раније креирали. У претходним примерима, обезбедили сте да група за продају има дозволе за /дата/салес, а група налога за /дата/аццоунт.

Прво, уверите се да група налога има дозволе за читање у директоријуму /дата/салес и да ли група за продају има дозволе за читање у директоријуму /дата/аццоунт.

Затим постављате подразумеване АЦЛ-ове да бисте осигурали да све нове датотеке имају исправно подешене дозволе за све нове ставке.

1. Отворите терминал.
2. Трцати сетфацл -мг:аццоунт:рк /дата/салес и сетфацл -мг:салес:рк /дата/аццоунт.
3. Трцати гетфацлда бисте били сигурни да су дозволе постављене онако како сте желели.
4. Трцати сетфацл -мд:г:аццоунт:рвк,г:салес:рк /дата/салесда поставите подразумевани АЦЛ за продајни именик.
5. Додајте подразумевани АЦЛ за директоријум /дата/аццоунт користећи сетфацл -мд:г:салес:рвк,г:аццоунт:рк /дата/аццоунт.
6. Проверите да ли су ваша подешавања АЦЛ-а на снази додавањем нове датотеке у /дата/салес. Извршити додирните /дата/салес/невфиле и уради гетфацл /дата/салес/невфиле да проверите тренутне дозволе.

Подешавање подразумеваних дозвола помоћу умаска

Горе сте научили како да радите са подразумеваним АЦЛ-овима. Ако не користите АЦЛ, постоји опција љуске која одређује подразумеване дозволе које ћете добити: умаск (обрнута маска). У овом одељку ћете научити како да промените подразумеване дозволе користећи умаск.

Можда сте приметили да када креирате нову датотеку, постављају се неке подразумеване дозволе. Ове дозволе су одређене поставком умаск. Ова поставка љуске примењује се на све кориснике приликом пријаве. У параметру умаск користи се нумеричка вредност која се одузима од максималних дозвола које се могу аутоматски подесити за датотеку; Максимално подешавање за датотеке је 666, а за директоријуме 777.

Међутим, од овог правила важе неки изузеци. Можете пронаћи комплетан преглед подешавања умаск у табели испод.

Од бројева који се користе у умаск, као и код нумеричких аргумената команде цхмод, прва цифра се односи на дозволе корисника, друга цифра се односи на дозволе групе, а последња се односи на подразумеване дозволе постављене за друге. Значење умаск подразумевано 022 даје 644 за све нове датотеке и 755 за све нове директоријуме креиране на вашем серверу.

Комплетан преглед свих бројчаних вредности умаск и њихови резултати у табели испод.

Једноставан начин да видите како поставка умаск функционише је следећи: почните са подразумеваним дозволама за фајлове постављеним на 666 и одузмите умаск да бисте добили ефективне дозволе. Урадите исто за директоријум и његове подразумеване дозволе од 777.

Постоје два начина да промените умаск поставку: за све кориснике и за појединачне кориснике. Ако желите да поставите умаск за све кориснике, морате осигурати да се умаск поставка поштује приликом покретања датотека окружења љуске, као што је наведено у /етц/профиле. Исправан приступ је да направите схелл скрипту под називом умаск.сх у директоријуму /етц/профиле.д и наведете умаск који желите да користите у тој схелл скрипти. Ако се умаск промени у овој датотеци, примењује се на све кориснике након пријављивања на сервер.

Алтернатива постављању умаск-а преко /етц/профиле и повезаних датотека, где се примењује на све кориснике који се пријављују, је промена умаск подешавања у датотеци под називом .профиле, која се креира у кућном директоријуму сваког корисника.

Подешавања примењена у овој датотеци примењују се само на појединачног корисника; стога, ово је добар метод ако вам треба више детаља. Лично ми се свиђа ова функција да промени подразумевану умаску роот корисника на 027, док нормални корисници раде са подразумеваном умаском од 022.

Рад са проширеним корисничким атрибутима

Ово је последњи одељак о дозволама за Линук.

Када радите са дозволама, увек постоји однос између објекта корисника или групе и дозвола које ти објекти корисника или групе имају на датотеци или директоријуму. Алтернативни метод за заштиту датотека на Линук серверу је рад са атрибутима.
Атрибути раде свој посао без обзира на корисника који приступа датотеци.

Као и код АЦЛ-ова, можда ће бити потребно омогућити атрибуте датотеке. моунт.

Ово је опција усер_каттр. Ако добијете поруку „операција није подржана“ када радите са проширеним корисничким атрибутима, обавезно подесите моунт у датотеци /етц/фстаб.

Многи атрибути су документовани. Неки атрибути су доступни али још нису примењени. Немојте их користити; неће ти ништа донети.

Испод су најкориснији атрибути које можете применити:

A Овај атрибут осигурава да се време приступа датотеци не промени.
Типично, сваки пут када се датотека отвори, време приступа датотеци треба да буде забележено у метаподацима датотеке. Ово негативно утиче на перформансе; дакле, за датотеке којима се редовно приступа, атрибут A може се користити за онемогућавање ове функције.

a Овај атрибут вам омогућава да додате, али не и бришете датотеку.

c Ако користите систем датотека који подржава компресију на нивоу волумена, овај атрибут датотеке осигурава да се датотека компримује када се први пут омогући механизам компресије.

D Овај атрибут осигурава да се промене датотека одмах записују на диск уместо да се прво кеширају. Ово је користан атрибут на важним датотекама базе података како би се осигурало да се не изгубе између кеша датотека и чврстог диска.

d Овај атрибут осигурава да датотека не буде сачувана у резервним копијама где се користи услужни програм за думп.

I Овај атрибут омогућава индексирање за директоријум у коме је омогућен. Ово обезбеђује бржи приступ датотекама за примитивне системе датотека као што је Ект3, који не користе базу података Б-стабла за брз приступ датотекама.

i Овај атрибут чини датотеку непроменљивом. Због тога се датотеке не могу мењати, што је корисно за датотеке којима је потребна додатна заштита.

j Овај атрибут осигурава да се на ект3 систему датотека датотека прво уписује у дневник, а затим у блокове података на чврстом диску.

s Замените блокове у којима је датотека сачувана 0 с након што је датотека избрисана. Ово осигурава да се датотека не може опоравити након што је обрисана.

u Овај атрибут чува информације о брисању. Ово вам омогућава да развијете услужни програм који ради са овим информацијама за спасавање избрисаних датотека.

Ако желите да примените атрибуте, можете користити команду цхаттр. На пример, користите цхаттр +с нека датотекада примените атрибуте на неку датотеку. Треба да уклоните атрибут? Затим користите цхаттр -с нека датотека, и биће избрисано. Да бисте добили преглед свих атрибута који се тренутно примењују, користите команду лсаттр.

Резиме

У овом чланку сте научили како да радите са дозволама. Прочитали сте о три основне дозволе, напредним дозволама и начину коришћења АЦЛ-ова на систему датотека. Такође сте научили како да користите параметар умаск за примену подразумеваних дозвола. На крају овог чланка научили сте како да користите проширене атрибуте корисника да бисте применили додатни ниво безбедности система датотека.

Ако вам се допао овај превод, напишите о њему у коментарима. Биће више мотивације за корисне преводе.

Исправио сам неке грешке у куцању и граматичке грешке у чланку. Неки гломазни параграфи су смањени на мање ради лакшег читања.

Уместо „Само неко са административним правима на директоријум може да примени дозволу за извршавање.“ исправљено на "Само неко са приступом за писање у директоријум може применити дозволу за извршавање.", што би било исправније.

Хвала на коментарима берез.

Замењено:
Ако нисте власник корисника, љуска ће проверити да ли сте члан групе, која се назива и група датотеке.

На:
Ако нисте власник датотеке, љуска ће проверити да ли сте члан групе која има дозволе за датотеку. Ако сте члан ове групе, приступићете датотеци са дозволама које су постављене за групу, а љуска ће престати да проверава.

Хвала на коментару ЦриптоПирате

Извор: ввв.хабр.цом