Behörigheter i Linux (chown, chmod, SUID, GUID, sticky bit, ACL, umask)

Hej alla. Detta är en översättning av en artikel från boken RedHat RHCSA RHCE 7 RedHat Enterprise Linux 7 EX200 och EX300.

Från mig: Jag hoppas att artikeln kommer att vara användbar inte bara för nybörjare utan också hjälpa mer erfarna administratörer att organisera sin kunskap.

Så, låt oss köra igång.

För att få åtkomst till filer i Linux används behörigheter. Dessa behörigheter tilldelas tre objekt: filens ägare, gruppens ägare och ett annat objekt (det vill säga alla andra). I denna artikel kommer du att lära dig hur man tillämpar behörigheter.

Artikeln börjar med en översikt över grundläggande begrepp, följt av en diskussion om speciella behörigheter (Special permissions) och åtkomstkontrollistor (ACL). I slutet av denna artikel behandlas inställning av standardbehörigheter genom umask samt hantering av användarens utökade attribut.

Hantering av filägande

Innan vi diskuterar behörigheter måste du känna till rollen av fil- och katalogägaren. Ägande av filer och kataloger är avgörande för hantering av behörigheter. I det här avsnittet kommer du först att få veta hur du kan se ägaren. Därefter kommer du att lära dig hur du ändrar grupp- och användarägare för filer och kataloger.

Visa ägaren av en fil eller katalog

I Linux har varje fil och varje katalog två ägare: en användare och en gruppägare.

Dessa ägare sätts vid skapandet av filen eller katalogen. Användaren som skapar filen blir ägare av filen, och den primära grupp som den användaren tillhör blir också ägare av filen. För att avgöra om du som användare har åtkomst till en fil eller katalog kontrollerar skalet ägandet av dem.

Detta sker i följande ordning:

1. Skalet kontrollerar om du är ägaren av filen som du vill få åtkomst till. Om du är den ägaren får du behörigheter och skalet slutar att kontrollera.
2. Om du inte är ägaren av filen kontrollerar skalet om du är medlem av gruppen som har behörigheter för denna fil. Om du är medlem i denna grupp får du åtkomst till filen med de behörigheter som är inställda för gruppen, och skalet slutar kontrollera.
3. Om du varken är användaren eller gruppägaren får du behörigheterna för andra användare (Other).

För att se aktuella äganderättigheter kan du använda kommandot ls -l. Detta kommando visar användaren och gruppens ägare. Nedan kan du se ägarinställningar för katalogerna i katalogen /home.

[root@server1 home]# ls -l
total 8
drwx------. 3  bob            bob            74     Feb   6   10:13 bob
drwx------. 3  caroline       caroline       74     Feb   6   10:13 caroline
drwx------. 3  fozia          fozia          74     Feb   6   10:13 fozia
drwx------. 3  lara           lara           74     Feb   6   10:13 lara
drwx------. 5  lisa           lisa           4096   Feb   6   10:12 lisa
drwx------. 14 user           user           4096   Feb   5   10:35 user

Med kommandot ls du kan visa ägaren av filer i denna katalog. Ibland kan det vara användbart att få en lista över alla filer i systemet där den angivna användaren eller gruppen är ägare. För detta kan du använda find. Argumentet find -user kan användas för detta ändamål. Till exempel visar följande kommando alla filer där användaren linda är ägare:

find / -user linda

Du kan också använda find för att hitta filer där en viss grupp är ägare.

Till exempel letar följande kommando efter alla filer som tillhör gruppen users:

find / -group users

Ändra ägande

För att tillämpa lämpliga rättigheter är det första att beakta ägande. För detta finns det kommandot chown. Syntaxen för detta kommando är inte svår att förstå:

chown vem vad

Till exempel ändrar följande kommando ägaren av katalogen /home/account till användaren linda:

chown linda /home/account

Team chown har flera alternativ, ett av vilka är särskilt användbart: -R. Du kan gissa vad det gör, eftersom detta alternativ också finns för många andra kommandon. Det låter dig rekursivt ställa in ägaren, vilket gör att du kan ställa in ägaren för den aktuella katalogen och allt under den. Följande kommando ändrar ägaren för katalogen /home och allt som finns under den till användaren linda:

Nu ser ägarna ut så här:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 account account 62 Sep 25 21:41 account
drwx------. 2 lisa    lisa    62 Sep 25 21:42 lisa

Utför följande:

[root@localhost ~]# chown -R lisa /home/account
[root@localhost ~]#

Nu har användaren lisa blivit ägaren av katalogen account:

[root@localhost ~]# ls -l /home
total 0
drwx------. 2 lisa account 62 Sep 25 21:41 account
drwx------. 2 lisa lisa    62 Sep 25 21:42 lisa

Ändra gruppägarens rättigheter

Det finns två sätt att ändra gruppägarens rättigheter. Du kan göra det genom att använda chown, men det finns ett speciellt kommando med namnet chgrp, som utför detta arbete. Om du vill använda kommandot chown, använd . eller : före gruppnamnet.

Följande kommando ändrar ägaren av gruppen /home/account till gruppen account:

chown .account /home/account

Du kan använda chown för att ändra ägaren av användaren och/eller gruppen på flera sätt. Här är några exempel:

• chown lisa myfile1 sätter användaren lisa som ägare av filen myfile1.
• chown lisa.sales myfile sätter användaren lisa som ägare av filen myfile, och sätter även gruppen sales som ägare av samma fil.
• chown lisa:sales myfile samma som det föregående kommandot.
• chown .sales myfile sätter gruppen sales som ägare av filen myfile utan att ändra ägaren av användaren.
• chown :sales myfile samma som det föregående kommandot.

Du kan använda kommandot chgrp, för att ändra ägaren av gruppen. Låt oss betrakta följande exempel där du kan använda chgrp för att sätta gruppen sales som ägare av katalogen account:

chgrp .sales /home/account

Som med chown, kan du använda alternativet -R med chgrp, och också ändra ägaren av gruppen rekursivt.

Förstå standardägaren

Du har kanske märkt att när en användare skapar en fil, tillämpas standardägarskap.
Användaren som skapar filen blir automatiskt ägare av den filen, och användarens primära grupp blir automatiskt ägare av den filen. Vanligtvis är detta gruppen som anges i filen /etc/passwd som användarens primära grupp. Men om användaren är medlem i flera grupper kan han eller hon ändra den effektiva primära gruppen.

För att visa den aktuella effektiva primära gruppen kan användaren använda kommandot grupper:

[root@server1 ~]# groups lisa
lisa : lisa account sales

Om den aktuella användaren linda vill ändra den effektiva primära gruppen använder hon kommandot newgrp, följt av namnet på gruppen som hon vill ställa in som den nya effektiva primära gruppen. Efter att ha använt kommandot newgrp kommer den primära gruppen att vara aktiv tills användaren anger kommandot exit eller loggar ut.

Nedan visas hur användaren linda använder detta kommando, vilket gör att den primära gruppen blir gruppen sales:

lisa@server1 ~]$ groups
lisa account sales
[lisa@server1 ~]$ newgrp sales
[lisa@server1 ~]$ groups
sales lisa account
[lisa@server1 ~]$ touch file1
[lisa@server1 ~]$ ls -l
total 0
-rw-r--r--. 1 lisa sales 0 Feb 6 10:06 file1

Efter ändring av den aktiva primärgruppen kommer alla nya filer som användaren skapar att få den gruppen som ägargrupp. För att återgå till standardinställningen för primärgruppen, använd exit.

För att kunna använda kommandot newgrp, måste användaren vara medlem av den grupp som han vill använda som primär. Dessutom kan gruppens lösenord användas för gruppen med kommandot gpasswd. Om användaren använder kommandot newgrp, men inte är medlem i målggruppen, uppmanar skalen att ange gruppens lösenord. Efter att du har angett rätt grupplösenord kommer den nya effektiva primärgruppen att ställas in.

Hantera grundläggande rättigheter

Linux behörighetssystemet skapades på 1970-talet. Eftersom datorkraven var begränsade vid den tiden var det grundläggande behörighetssystemet ganska begränsat. Detta behörighetssystem använder tre behörigheter som kan tillämpas på filer och kataloger. I detta avsnitt lär du dig att använda och ändra dessa behörigheter.

Förstå läs-, skriv- och körbehörigheter

De tre grundläggande behörigheterna tillåter dig att läsa, skriva och köra filer. Effekten av dessa behörigheter varierar när de tillämpas på filer eller kataloger. När det gäller en fil ger läsbehörigheten dig rätt att öppna filen för att läsa. Därför kan du läsa dess innehåll, men det innebär också att din dator kan öppna filen för att göra något med den.

En programfil som behöver åtkomst till ett bibliotek måste till exempel ha läsbehörighet till det biblioteket. Detta innebär att läsbehörigheten är den mest grundläggande behörigheten som du behöver för att arbeta med filer.

När det gäller en katalog tillåter läsning dig att visa innehållet i den katalogen. Du bör veta att denna behörighet inte låter dig läsa filerna i katalogen. Linux behörighetssystemet känner inte till arv, och det enda sättet att läsa en fil är att använda läsbehörigheter för den filen.

Som du förmodligen kan gissa, ger skrivbehörighet, om det tillämpas på en fil, tillåtelse att skriva i filen. Med andra ord tillåter det att ändra innehållet i befintliga filer. Det tillåter dock inte att skapa eller ta bort nya filer eller ändra filbehörigheterna. För detta behöver du ge skrivbehörighet till katalogen där du vill skapa filen. I kataloger tillåter denna behörighet också att skapa och ta bort nya undermappar.

Körbehörighet är vad du behöver för att köra en fil. Det kommer aldrig vara aktiverat som standard, vilket gör Linux praktiskt taget helt immun mot virus. Endast någon med skrivbehörighet i katalogen kan tillämpa körbehörighet.

Nedan sammanfattas användningen av grundläggande behörigheter:

Använda chmod

För att hantera rättigheter används kommandot chmod. Med hjälp av chmod kan du ställa in behörigheter för användare (user), grupp (group) och andra (other). Du kan använda detta kommando i två lägen: relativt läge och absolut läge. I absolut läge används tre siffror för att ställa in grundläggande behörigheter.

Vid inställning av behörigheter beräknar du det värde som du behöver. Om du vill ställa in läsning, skrivning och körning för användaren, läsning och körning för gruppen, samt läsning och körning för andra i filen /somefile, så använder du följande kommando chmod:

chmod 755 /somefile

När du använder chmod på detta sätt, ersätts alla aktuella behörigheter med de behörigheter som du har ställt in.

Om du vill ändra behörigheter relativt till de aktuella behörigheterna kan du använda chmod i relativt läge. När du använder chmod i relativt läge arbetar du med tre indikatorer för att specificera vad du vill göra:

1. Först anger du för vem du vill ändra behörigheterna. För detta kan du välja mellan användaren (u), gruppen (g), och andra (o).
2. ). Sedan använder du operatorn för att lägga till eller ta bort behörigheter från det aktuella läget eller ställa in dem helt.
3. Till sist använder du är lika med noll., — kolumnvektorer, och $inline$(.)^H$inline$ är operationen och x, för att ange vilka behörigheter du vill ställa in.

När du ändrar behörigheter i relativt läge kan du hoppa över delen "till vilken" för att lägga till eller ta bort behörighet för alla objekt. Till exempel lägger det här kommandot till utföranderätt för alla användare:

chmod +x somefile

När du arbetar i relativt läge kan du också använda mer komplexa kommandon. Till exempel lägger det här kommandot till skrivbehörighet för gruppen och tar bort läsbehörighet för andra:

chmod g+w,o-r somefile

När du använder chmod -R o+rx /data du sätter utföranderätt för alla kataloger såväl som för filer i katalogen /data. För att ge utföranderätt endast för kataloger och inte för filer, använd chmod -R o+ rX /data.

Versalen X säkerställer att filer inte får utföranderätt om filen tidigare inte har ställts in med utföranderätt för vissa objekt. Detta gör X till ett mer förnuftigt sätt att hantera utföranderätt; det förhindrar att denna rättighet sätts för filer där den inte krävs.

Utökade rättigheter

Förutom de grundläggande rättigheterna som du just har läst om, finns det också en uppsättning utökade rättigheter i Linux. Detta är inte de rättigheter som du ställer in som standard, men ibland ger de en användbar komplettering. I detta avsnitt kommer du att lära dig vad de är och hur du konfigurerar dem.

Förståelse av utökade rättigheter SUID, GUID och sticky bit

Det finns tre avancerade rättigheter. Den första av dem är behörighet för att ställa in användar-ID (SUID). I vissa särskilda fall kan du tillämpa denna rättighet på körbara filer. Som standard kör användaren som kör den körbara filen denna fil med sina egna rättigheter.

För vanliga användare betyder detta vanligtvis att användningen av programmet är begränsad. Men i vissa fall behöver användaren speciella rättigheter för att utföra en viss uppgift.

Låt oss ta ett exempel där en användare behöver ändra sitt lösenord. För detta måste användaren skriva sitt nya lösenord i filen /etc/shadow. Men denna fil är inte skrivbar för användare som inte har root-åtkomst:

root@hnl ~]# ls -l /etc/shadow
----------. 1 root root 1184 Apr 30 16:54 /etc/shadow

SUID-behörighet erbjuder en lösning på detta problem. I verktyget /usr/bin/passwd tillämpas denna behörighet som standard. Det betyder att när ett lösenord ändras får användaren tillfälliga root-rettigheter, vilket gör att hen kan skriva till filen /etc/shadow. Du kan se SUID-behörigheten med ls -l som s på den plats där du vanligtvis förväntar dig att se x för användarbehörigheter:

[root@hnl ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 32680 Jan 28 2010 /usr/bin/passwd

SUID-behörighet kan verka användbar (och i vissa fall är den faktiskt det), men samtidigt kan den vara potentiellt farlig. Vid felaktig användning kan du av misstag ge root-behörigheter. Därför rekommenderar jag att du använder den med största försiktighet.

De flesta administratörer kommer aldrig att behöva använda den; du kommer bara att se den i vissa filer där operativsystemet måste ställa in den som standard.

Den andra speciella behörigheten är gruppidentifikatorn (SGID). Denna behörighet har två effekter. När den tillämpas på en exekverbar fil ger den användaren som kör filen ägarens gruppbehörigheter för den filen. Således kan SGID utföra mer eller mindre samma sak som SUID. Men för detta syfte används SGID praktiskt taget aldrig.

Precis som i fallet med SUID-behörighet tillämpas SGID på vissa systemfiler som standardinställning.

När den tillämpas på en katalog kan SGID vara användbar, eftersom du kan använda den för att ställa in standardägargrupp för filer och underkataloger som skapas i denna katalog. Som standard, när en användare skapar en fil, sätts den effektiva primära gruppen som ägare för den filen.

Det är inte alltid särskilt användbart, särskilt eftersom Red Hat/CentOS-användare har en huvudgrupp som är samma som användarnamnet, där användaren är den enda medlemmen. Således kommer filer som skapats av användaren som standard att tillhöra den grupptillgången.

Tänk dig en situation där användarna linda och lori arbetar på ekonomiavdelningen och är medlemmar i gruppen kontoSom standard är dessa användare medlemmar i en privat grupp, där de är de enda medlemmarna. Båda användarna är dock medlemmar i gruppen account, men också som medlemmar i en sekundär gruppparameter.

Standardläget är att när någon av dessa användare skapar en fil, blir den primära gruppen ägare. Därför kan linda som standard inte få tillgång till filer som skapats av lori, och vice versa. Men om du skapar en gemensam gruppkatalog (låt oss säga /groups/account) och ser till att SGID-behörigheten tillämpas på denna katalog och att gruppkontot ställs in som gruppens ägare för denna katalog, får alla filer som skapas i denna katalog och alla dess underkataloger också account-gruppen som standard ägare av gruppen.

Av denna anledning är SGID-behörighet en mycket användbar behörighet att ställa in i gemensamma gruppkataloger.

SGID-behörigheten visas i utdata ls -l som s på den plats där du vanligtvis hittar gruppens körbehörighet:

[root@hnl data]# ls -ld account
drwxr-sr-x. 2 root account 4096 Apr 30 21:28 account

Den tredje av de speciella behörigheterna är sticky bit. Denna behörighet är användbar för att skydda filer mot oavsiktlig radering i en miljö där flera användare har skrivbehörighet i samma katalog. Om den tillämpas kan en användare radera en fil endast om hen är ägare av filen eller katalogen i vilken filen finns. På grund av detta tillämpas den som standardbehörighet för katalogen /tmp och kan också vara användbar för gemensamma gruppkataloger.

Utan sticky bit kan en användare som kan skapa filer i en katalog också ta bort filer från den katalogen. I en offentlig gruppmiljö kan detta vara irriterande. Tänk dig användarna linda och lori, som båda har skrivbehörighet i katalogen /data/account och får dessa behörigheter genom att ingå i gruppen account. Således kan linda ta bort filer som skapats av lori, och vice versa.

När du tillämpar sticky bit kan en användare radera filer endast om något av följande villkor är uppfyllt:

• Användaren är ägare av filen;
• Användaren är ägare av katalogen som filen finns i.

När du använder ls -l, kan du se sticky bit som t i den position där du vanligtvis ser kör rättighet för andra:

[root@hnl data]# ls -ld account/
drwxr-sr-t. 2 root account 4096 Apr 30 21:28 account/

Tillämpning av utökade rättigheter

För att använda SUID, SGID och sticky bit kan du också använda chmod. SUID har ett numeriskt värde av 4, SGID har ett numeriskt värde av 2, och sticky bit har ett numeriskt värde av 1.

Om du vill tillämpa dessa rättigheter måste du lägga till en fyrsiffrig parameter i chmod, den första siffran avser de speciella rättigheterna. Följande rad, till exempel, lägger till SGID-rättighet på katalogen och ställer in rwx för användare och rx för grupp och andra:

chmod 2755 /somedir

Det är ganska opraktiskt om du behöver se de aktuella åtkomsträttigheterna som är inställda innan du arbetar med chmod i absolut läge. (Du riskerar att överskriva rättigheterna om du inte gör det.) Därför rekommenderar jag att arbeta i relativt läge om du behöver tillämpa någon av de speciella rättigheterna:

1. För SUID använd chmod u+s.
2. För SGID använd chmod g+s.
3. För sticky bit använd chmod +t, och sedan filnamnet eller katalogen för vilken du vill ställa in rättigheterna.

I tabellen sammanfattas allt viktigt att veta om hantering av speciella rättigheter.

Exempel på arbete med speciella rättigheter

I detta exempel använder du speciella rättigheter så att medlemmar i gruppen lättare kan dela filer i katalogen för den gemensamma gruppen. Du ställer in ID-biten av det installerade gruppidentifikatorn samt sticky bit och ser att efter att de har installerats läggs funktioner till som underlättar samarbete mellan gruppmedlemmarna.

1. Öppna terminalen där du är användare linda. Skapa en användare med kommandot useradd linda, lägg till lösenord passwd linda.
2. Skapa i roten katalogen /data och underkatalogen /data/sales med kommandot mkdir -p /data/sales. Kör cd /data/sales, för att gå till sales-katalogen. Kör touch linda1 och touch linda2, för att skapa två tomma filer som ägs av linda.
3. Kör su — lisa för att byta nuvarande användare till användaren lisa, som också är medlem i gruppen sales.
4. Kör cd /data/sales och från denna katalog kör ls -l. Du kommer se två filer som skapades av användaren linda och tillhör gruppen linda. Kör rm -f linda*. Detta tar bort båda filerna.
5. Kör touch lisa1 och touch lisa2, för att skapa två filer som tillhör användaren lisa.
6. Kör su — för att höja dina privilegier till root-nivå.
7. Kör chmod g+s,o+t /data/sales, för att ställa in gruppens ID-bit (GUID) samt sticky bit i den gemensamma gruppens katalog.
8. Kör su — linda. Kör sedan touch linda3 och touch linda4. Nu bör du se att de två filer du har skapat tillhör gruppen sales, som är ägare av katalogen /data/sales.
9. Kör rm -rf lisa*. Sticky bit förhindrar borttagning av dessa filer av användaren linda, eftersom du inte är ägare till dessa filer. Tänk på att om användaren linda är ägare av katalogen /data/sales, kan hen fortfarande ta bort dessa filer!

Hantera ACL (setfacl, getfacl) i Linux

Även om de utökade rättigheterna som diskuterats ovan tillför användbar funktionalitet till hur Linux arbetar med behörigheter, tillåter de dig inte att ge rättigheter till mer än en användare eller en grupp i en och samma fil.

Åtkomstkontrollistor erbjuder denna funktion. Dessutom gör de det möjligt för administratörer att ställa in standardbehörigheter på ett komplicerat sätt, där de inställda rättigheterna kan variera mellan olika kataloger.

Förståelse för ACL

Även om ACL-subsystemet lägger till utmärkta funktioner till din server, har det en nackdel: inte alla verktyg stödjer det. Därför kan du förlora ACL-inställningar när du kopierar eller flyttar filer, och backup-programvara kanske inte säkerhetskopierar ACL-inställningarna.

Tar-verktyget stöder inte ACL. För att säkerställa att ACL-inställningarna inte går förlorade vid säkerhetskopiering, använd star istället för tar. star det fungerar med samma parametrar som tar; det lägger bara till stöd för ACL-inställningar.

Du kan också säkerhetskopiera ACL med getfacl, som kan återställas med kommandot setfacl. För att skapa en säkerhetskopiering, använd getfacl -R /directory > file.acls. För att återställa inställningarna från säkerhetskopieringsfilen, använd setfacl —restore=file.acl.

Brist på stöd från vissa verktyg ska inte vara ett problem. ACL-listor tillämpas ofta på kataloger som en strukturell åtgärd, snarare än på enskilda filer.
Därför kommer de inte att vara många, utan bara några få som tillämpas på smarta platser i filsystemet. Därmed är det relativt enkelt att återställa de ursprungliga ACL-listor som du har arbetat med, även om din säkerhetskopieringsprogramvara inte stödjer dem.

Förberedelse av filsystemet för ACL

Innan du börjar arbeta med ACL kan det vara nödvändigt att förbereda filsystemet för att stödja ACL. Eftersom metadata för filsystemet måste utvidgas finns det inte alltid standardstöd för ACL i filsystemet. Om du får meddelandet "operation not supported" vid konfiguration av ACL-listor för filsystemet kan det hända att ACL-stöd saknas i ditt filsystem.

För att åtgärda detta behöver du lägga till alternativet acl mount i filen /etc/fstab så att filsystemet monteras med ACL-stöd som standard.

Ändra och visa ACL-inställningar med hjälp av setfacl och getfacl

För att ställa in ACL behöver du kommandot setfacl. För att se de aktuella ACL-inställningarna behöver du getfacl. Kommandot ls -l visar inga befintliga ACL; det visar bara + efter behörighetslistan vilket indikerar att ACL-listor tillämpas och på filen.

Innan du konfigurerar ACL-listor är det alltid bra att visa de aktuella ACL-inställningarna med hjälp av getfacl. Nedan i exemplet kan du se de aktuella behörigheterna, som visas med hjälp av ls -l, samt hur det visas med getfacl. Om du tittar tillräckligt noga kommer du att se att den visade informationen är exakt densamma.

[root@server1 \/]# ls -ld \/dir\ndrwxr-xr-x. 2 root root 6 Feb 6 11:28 \/dir
[root@server1 \/]# getfacl \/dir
getfacl: Removing leading '\/'' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

Som ett resultat av kommandot getfacl syns det nedan att behörigheterna visas för tre olika objekt: användare, grupp och andra. Låt oss nu lägga till ACL för att ge läs- och exekveringsrättigheter till gruppen sales. Kommandot för detta är setfacl -m g:sales:rx \/dir. I det här kommandot -m anger att de aktuella ACL-inställningarna behöver ändras. Därefter g:sales:rx informerar kommandot att ställa in ACL för läsning och exekvering (rx) för gruppen (g) sales. Nedan kan du se hur kommandot ser ut samt utdata från kommandot getfacl efter ändringen av de aktuella ACL-inställningarna.

[root@server1 \/]# setfacl -m g:sales:rx \/dir
[root@server1 \/]# getfacl \/dir
getfacl: Removing leading '\/'' from absolute path names
# file: dir
# owner: root
# group: root
user::rwx
group::r-x
group:sales:r-x
mask::r-x
other::r-x

Nu när du förstår hur man sätter upp en grupp-ACL, blir det lätt att förstå ACL för användare och andra användare. Till exempel kommandot setfacl -m u:linda:rwx /data ger användaren linda behörighet i katalogen /data, utan att göra henne till ägare eller ändra den nuvarande ägarens tilldelning.

Team setfacl har många funktioner och alternativ. Ett alternativ är särskilt viktigt, parameter -R. Om det används, kommer denna inställning att göra ACL-konfigurationen för alla filer och underkataloger som för närvarande finns i katalogen där du sätter ACL. Det rekommenderas att alltid använda detta alternativ när du ändrar ACL-listor för existerande kataloger.

Arbeta med standard-ACL

En av fördelarna med att använda ACL-listor är att du kan ge behörigheter till flera användare eller grupper i en katalog. En annan fördel är att du kan inkludera arv när du arbetar med standard-ACL.

Genom att ställa in en standard-ACL definierar du de behörigheter som kommer att tilldelas för alla nya objekt som skapas i katalogen. Tänk på att standard-ACL inte ändrar behörigheterna för existerande filer och underkataloger. För att ändra dem måste du också lägga till en vanlig ACL!

Detta är viktigt att veta. Om du vill använda ACL för att konfigurera åtkomst för flera användare eller grupper till samma katalog måste du ställa in ACL två gånger. Först använd setfacl -R -m, för att ändra ACL för de nuvarande filerna. Använd sedan setfacl -m d:, för att ta hand om alla nya objekt som också kommer att skapas.

För att ställa in en standard-ACL behöver du bara lägga till alternativet d efter alternativet -m (ordningen är viktig!). Så använd setfacl -m d:g:sales:rx /data, om du vill att säljgruppen ska kunna läsa och köra allt som någonsin kommer att skapas i katalogen /data.

När du använder standard-ACL-listor kan det också vara fördelaktigt att ställa in ACL för andra. Vanligtvis har detta inte så mycket betydelse, eftersom du också kan ändra behörigheterna för andra med chmod. Men vad du inte kan göra med hjälp av chmod, ange att ange rättigheterna som ska ges till andra användare för varje ny fil som någonsin kommer att skapas. Om du vill att andra inte ska få några rättigheter för något som skapas i /data, till exempel, använd setfacl -m d:o::- /data.

ACL och vanliga rättigheter är inte alltid väl integrerade. Problem kan uppstå om du har tillämpat standard-ACL på en katalog, efter vilket element har lagts till i denna katalog, och sedan försöker ändra vanliga rättigheter. Ändringar som tillämpas på vanliga rättigheter kommer inte att återspeglas väl i översikten av ACL. För att undvika problem, sätt först vanliga rättigheter, och ställ sedan in standard-ACL (och försök efteråt att inte ändra dem igen).

Exempel på hantering av utökade rättigheter med hjälp av ACL

I det här exemplet kommer du att arbeta med katalogerna /data/account och /data/sales, som du skapade tidigare. I tidigare exempel försäkrade du dig om att gruppen sales har rättigheter på /data/sales, och gruppen account har rättigheter på /data/account.

Först, se till att gruppen account får läsrättigheter i katalogen /data/sales, och gruppen sales får läsrättigheter i katalogen /data/account.

Därefter ställer du in standard-ACL-listor för att säkerställa att alla nya filer har rätt rättigheter för alla nya element.

1. Öppna terminalen.
2. Kör setfacl -m g:account:rx /data/sales och setfacl -m g:sales:rx /data/account.
3. Kör getfacl, för att kontrollera att åtkomsträttigheterna har ställts in som du ville.
4. Kör setfacl -m d:g:account:rwx,g:sales:rx /data/sales, för att ställa in standard-ACL för katalogen sales.
5. Lägg till standard-ACL för katalogen /data/account med hjälp av setfacl -m d:g:sales:rwx,g:account:rx /data/account.
6. Verifiera att ACL-inställningarna fungerar genom att lägga till en ny fil i /data/sales. Utför touch /data/sales/newfile och utför getfacl /data/sales/newfile för att kontrollera de aktuella rättigheterna.

Ställa in standardrättigheter med umask

Ovan har du lärt dig hur man arbetar med standard-ACL. Om du inte använder ACL finns det en skalparameter som bestämmer de standardrättigheter du kommer att få: umask (omvänd mask). I det här avsnittet lär du dig hur du ändrar standardrättigheterna med hjälp av umask.

Du har säkert märkt att vissa rättigheter ställs in som standard när en ny fil skapas. Dessa rättigheter bestäms av inställningen. umaskDenna skalparameter tillämpas på alla användare vid inloggning. I parametern umask används ett numeriskt värde som subtraheras från de maximala rättigheterna som automatiskt kan ställas in för en fil; den maximala inställningen för filer är 666, medan den för kataloger är 777.

Det finns dock vissa undantag från denna regel. Du kan hitta en fullständig översikt över inställningarna umask i tabellen nedan.

Beträffande siffrorna som används i umask, precis som med numeriska argument för kommandot chmod, hänvisar det första siffran till användarrättigheterna, den andra siffran till gruppens rättigheter och den sista till standardrättigheterna som är inställda för andra. Värdet umask standard 022 ger 644 för alla nya filer och 755 för alla nya kataloger som skapas på din server.

En fullständig översikt över alla numeriska värden umask och deras resultat i tabellen nedan.

Ett enkelt sätt att se hur umask-parametern fungerar ser ut som följande: börja med standardrättigheterna för en fil inställd på 666 och subtrahera umask för att få de effektiva rättigheterna. Gör samma sak för katalogen och dess standardrättigheter 777.

Det finns två sätt att ändra umask-inställningen: för alla användare och för enskilda användare. Om du vill ställa in umask för alla användare måste du se till att umask-parametern beaktas när miljöskalfiler körs, som anges i /etc/profile. Den korrekta metoden är att skapa ett skal-script med namnet umask.sh i katalogen /etc/profile.d och ange umask som du vill använda i detta skal-script. Om umask ändras i denna fil tillämpas det på alla användare efter inloggning på servern.

Ett alternativ till att ställa in umask via /etc/profile och relaterade filer, där det tillämpas på alla användare som loggar in, är att ändra umask-inställningarna i en fil med namnet .profile, som skapas i varje användares hemkatalog.

Inställningarna som tillämpas i denna fil gäller endast för den enskilda användaren; det är därför en bra metod om du behöver mer detalj. Jag personligen gillar denna funktion för att ändra standardvärdet för umask för användaren root till 027, medan vanliga användare arbetar med standard umask 022.

Arbeta med utökade användarattribut

Detta är den avslutande delen om rättigheter i Linux.

När det gäller behörigheter finns det alltid en koppling mellan en användar- eller gruppobjekt och de behörigheter som dessa användar- eller gruppobjekt har för en fil eller katalog. En alternativ metod för att skydda filer på en Linux-server är att arbeta med attribut.
Attribut fungerar oavsett vilken användare som öppnar filen.

Precis som med ACL kan det vara nödvändigt att aktivera alternativet mount.

user_xattr . Om du får meddelandet "operation not supported" när du arbetar med utökade användarattribut, se till att du har aktiverat alternativeti filen /etc/fstab. mount Många attribut är dokumenterade. Vissa attribut är tillgängliga, men har ännu inte implementerats. Använd dem inte; de ger dig ingenting.

Nedan följer de mest användbara attributen som du kan tillämpa:

Detta attribut säkerställer att åtkomsttiden för en fil inte ändras.

A Vanligtvis, varje gång en fil öppnas, ska åtkomsttiden för filen registreras i filens metadata. Detta påverkar prestandan negativt; därför kan attributet
användas för att stänga av denna funktion för filer som ofta nås. A Detta attribut tillåter att filer kan läggas till men inte tas bort.

a Om du använder ett filsystem som stöder kompression på volymnivå, säkerställer detta filattribut att filen komprimeras vid första aktiveringen av kompressionsmekanismen.

c Detta attribut säkerställer att ändringar i filer skrivs till disken omedelbart, istället för att lagras i cache först. Detta är ett användbart attribut för viktiga databasfiler, vilket gör att de inte går förlorade mellan filcachen och hårddisken.

D Detta attribut säkerställer att filen inte sparas i säkerhetskopior där dumpverktyget används.

d Detta attribut aktiverar indexering för katalogen där det är aktiverat. Det ger snabbare åtkomst till filer för primitiva filsystem som Ext3, som inte använder en B-tree databas för snabb åtkomst till filer.

I Detta attribut säkerställer att filen inte sparas i säkerhetskopior där dump-verktyget används.

i Denna attribut gör filen oföränderlig. Det innebär att inga ändringar kan göras i filen, vilket är användbart för filer som behöver extra skydd.

j Denna attribut garanterar att filen först skrivs i loggen och sedan till data blocken på hårddisken i ext3-filsystemet.

s Överskriv blocken där filen var sparad med 0 efter att filen har tagits bort. Detta säkerställer att filen inte kan återställas efter borttagning.

u Denna attribut sparar information om borttagning. Detta möjliggör utvecklingen av ett verktyg som arbetar med denna information för att återställa raderade filer.

Om du vill tillämpa attribut kan du använda kommandot chattr. Till exempel, använd chattr +s somefile, för att tillämpa attribut på somefile. Vill du ta bort attributet? Då använder du chattr -s somefile, så kommer det att tas bort. För att få en översikt över alla attribut som för närvarande tillämpas, använd kommandot lsattr.

Sammanfattning

I denna artikel har du lärt dig hur man arbetar med behörigheter. Du har läst om de tre grundläggande behörigheterna, de utökade behörigheterna och hur man tillämpar ACL-listor i filsystemet. Du har också lärt dig hur man använder umask-parametern för att tillämpa standardbehörigheterna. I slutet av denna artikel har du lärt dig hur man använder användardefinierade attribut för att tillämpa en extra säkerhetsnivå i filsystemet.

Gillade du denna översättning? Lämna gärna en kommentar. Det ger mer motivation att göra användbara översättningar.

I artikeln har jag rättat några tryckfel och grammatiska fel. Jag har delat upp vissa klumpiga stycken i mindre för att göra det lättare att läsa.

Istället för "Endast någon med administrativa rättigheter på katalogen kan tillämpa körbehörighet." har jag ändrat till "Endast någon med skrivrättigheter på katalogen kan tillämpa körbehörighet.", vilket är mer korrekt.

Tack för kommentarerna berez.

Jag har ersatt:
Om du inte är ägaren, kommer skalet att kontrollera om du är medlem i en grupp som också kallas filens grupp.

Till:
Om du inte är ägaren av filen kontrollerar skalet om du är medlem av gruppen som har behörigheter för denna fil. Om du är medlem i denna grupp får du åtkomst till filen med de behörigheter som är inställda för gruppen, och skalet slutar kontrollera.

Tack för kommentaren CryptoPirate

Källa: habr.com