鸟哥的linux私房菜学习笔记《二十六》ACL权限管理

最新推荐文章于 2021-05-16 13:01:54 发布
最新推荐文章于 2021-05-16 13:01:54 发布
阅读量768 收藏
点赞数
分类专栏： linux服务器 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/63255564
版权
  1. 概念：
    ACL 是 Access Control List 的缩写，主要的目的是在提供传统的 owner,group,others 的read,write,execute 权限之外的细部权限设置。ACL 可以针对单一使用者，单一文件或目录来进行 r,w,x 的权限规范，对于需要特殊权限的使用状况非常有帮助。那 ACL 主要可以针对哪些方面来控制权限呢？他主要可以针对几个项目：
    （1）使用者 （user）：可以针对使用者来设置权限；
    （2）群组 （group）：针对群组为对象来设置其权限；
    （3）默认属性 （mask）：还可以针对在该目录下在创建新文件/目录时，规范新数据的默认权限；

  2. 查看文件系统是否支持ACL

    [root@CentOS ~]# mount
/dev/sda2 on / type ext4 (rw)
[root@CentOS ~]# dumpe2fs -h /dev/sda2
Default mount options:    user_xattr acl


# 如果文件系统不支持ACL，可以手动：

[root@CentOS ~]# mount -o remount,acl /
[root@CentOS ~]# mount
/dev/sda2 on / type ext4 (rw,acl)

# 如果想要每次开机都生效：

[root@CentOS ~]# vim /etc/fstab
LABEL=/1                /                       ext4    defaults,acl    1 1

  3. setfacl：设置某个文件/目录的ACL规定
    参数：
    -m ：设置后续的 acl 参数给文件使用，不可与 -x 合用；
    -x ：删除后续的 acl 参数，不可与 -m 合用；
    -b ：移除“所有的” ACL 设置参数；
    -k ：移除“默认的” ACL 参数，关于所谓的“默认”参数于后续范例中介绍；
    -R ：递回设置 acl ，亦即包括次目录都会被设置起来；
    -d ：设置“默认 acl 参数”的意思！只对目录有效，在该目录新建的数据会引用此默认值

    
# 针对特定用户的方式


# 设置规定：“ u:[使用者帐号列表]:[rwx] ”，例如针对 vbird1 的权限规范 rx 

[root@CentOS ~]# touch acl_test1
[root@CentOS ~]# ll acl_test1 
-rw-r--r--. 1 root root 0 Mar 18 15:27 acl_test1
[root@CentOS ~]# setfacl -m u:kevin:rx acl_test1 
[root@CentOS ~]# ll acl_test1 
-rw-r-xr--+ 1 root root 0 Mar 18 15:27 acl_test1

# 权限多了一个+


[root@CentOS ~]# setfacl -m u::rwx acl_test1 
[root@CentOS ~]# ll acl_test1 
-rwxr-xr--+ 1 root root 0 Mar 18 15:27 acl_test1

# 无用户列表，代表设置该文件所有者，所以上面显示root的权限成为rwx了

  4. getfacl：取得某个文件/目录的ACL设置项目
    参数：
    getfacl 的选项几乎与 setfacl 相同！所以鸟哥这里就免去了选项的说明

    
# 列出刚才设置的权限内容

[root@CentOS ~]# getfacl acl_test1 

# file: acl_test1 #说明文档名而已！


# owner: root     #说明此文件的拥有者，亦即 ls -l 看到的第三使用者字段


# group: root     #此文件的所属群组，亦即 ls -l 看到的第四群组字段

user::rwx         #使用者列表栏是空的，代表文件拥有者的权限
user:kevin:r-x    #针对 vbird1 的权限设置为 rx ，与拥有者并不同！
group::r--        #针对文件群组的权限设置仅有 r
mask::r-x         #此文件默认的有效权限 （mask）
other::r--        #其他人拥有的权限

# 显示的数据前面加上 # 的，代表这个文件的默认属性，包括文

件名、文件拥有者与文件所属群组。 下面出现的 user, group, mask, other 则是属于不同使用者、群组与有效权限（mask）的设置值



# 针对特定用户组的方式：


# 设置规范：“ g:[群组列表]:[rwx] ”，例如针对 mygroup1 的权限规范 rx

[root@CentOS ~]# setfacl -m g:group1:rx acl_test1 
[root@CentOS ~]# getfacl acl_test1 

# file: acl_test1


# owner: root


# group: root

user::rwx
user:kevin:r-x
group::r--
group:group1:r-x  #新增的部分
mask::r-x
other::r--

# 使用者或群组所设置的权限必须要存在于 mask 的权限设置范围内才会生效，此即“有效权限 （effective permission）




# 针对有效权限mask的设置方式

设置规范：“ m:[rwx] ”，例如针对刚刚的文件规范为仅有 r 
[root@CentOS ~]# setfacl -m m:r acl_test1 
[root@CentOS ~]# getfacl acl_test1 

# file: acl_test1


# owner: root


# group: root

user::rwx
user:kevin:r-x          #effective:r-- # kevin+mask均存在仅有r而已
group::r--
group:group1:r-x        #effective:r--
mask::r--
other::r--

# kevin 与 mask 的集合发现仅有 r 存在，因此 vbird1 仅具有 r 的权限而已，并不存在 x权限！这就是 mask 的功能了！我们可以通过使用 mask 来规范最大允许的权限，就能够避免不小心开放某些权限给其他使用者或群组了。 不过，通常鸟哥都是将 mask 设置为 rwx 啦！然后再分别依据不同的用户/群组去规范她们的权限就是了。

  5. 练习
    新建用户user1，新建目录/srv/projecta，让 user1 可以进入查阅，但 myuser1不具有修改的权力

    
#新建用户myuser1，新建目录/srv/projecta

[root@CentOS ~]# useradd -G group1 -c "1st user" user1
[root@CentOS ~]# echo "password" | passwd --stdin user1
[root@CentOS ~]# mkdir /srv/projecta

# 查看user1是否有权限进入目录

[user1@CentOS ~]$ cd /srv/projecta/
bash: cd: /srv/projecta/: Permission denied

# 用root身份修改权限

[root@CentOS ~]# setfacl -m u:user1:rx /srv/projecta/
[root@CentOS ~]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names

# file: srv/projecta/


# owner: root


# group: root


# flags: -s-

user::rwx
user:user1:r-x  # 查看设置结果
group::rwx
mask::rwx
other::---


# 使用user1查看权限

[user1@CentOS ~]$ cd /srv/projecta/
[user1@CentOS projecta]$ ll -a
drwxrws---+ 2 root root 4096 Mar 18 15:00 .
drwxr-xr-x. 3 root root 4096 Mar 18 15:00 ..
[user1@CentOS projecta]$  touch testing
touch: cannot touch `testing': Permission denied

# 确实没有写入权限

    测试ACL权限能否被子目录所继承

    
# 查看是否继承

[root@CentOS ~]# cd /srv/projecta/
[root@CentOS projecta]# touch abc1
[root@CentOS projecta]# mkdir abc2
[root@CentOS projecta]# ll -d abc*
-rw-r--r--. 1 root root    0 Mar 18 15:50 abc1
drwxr-sr-x. 2 root root 4096 Mar 18 15:50 abc2

# 权限后面没有+号，说明没有继承ACL权限。

  6. 想要继承ACL权限：
    格式：d:[u|g]:[user|group]:权限

    
# 让user1在/srv/projesta下面一直具有rx的默认权限

[root@CentOS ~]# setfacl -m d:u:user1:rx /srv/projecta/
[root@CentOS ~]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names

# file: srv/projecta/


# owner: root


# group: root


# flags: -s-

user::rwx
user:user1:r-x
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:user1:r-x
default:group::rwx
default:mask::rwx
default:other::---

[root@CentOS ~]# cd /srv/projecta/
[root@CentOS projecta]# touch zzz1
[root@CentOS projecta]# mkdir zzz2
[root@CentOS projecta]# ll -d zzz*
-rw-rw----+ 1 root root    0 Mar 18 15:54 zzz1
drwxrws---+ 2 root root 4096 Mar 18 15:54 zzz2

# 确实有继承，使用getfacl继续确认

[root@CentOS projecta]# getfacl zzz2

# file: zzz2


# owner: root


# group: root


# flags: -s-

user::rwx
user:user1:r-x
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:user1:r-x
default:group::rwx
default:mask::rwx
default:other::---

  7. 想要ACL属性全部消失

    [root@CentOS projecta]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names

# file: srv/projecta/


# owner: root


# group: root


# flags: -s-

user::rwx
user:user1:r-x
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:user1:r-x
default:group::rwx
default:mask::rwx
default:other::---

[root@CentOS projecta]# setfacl -b

[root@CentOS projecta]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names

# file: srv/projecta/


# owner: root


# group: root


# flags: -s-

user::rwx
group::rwx
other::---
网络安全打工人
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
文件权限管理
weixin_42996595的博客
07-13 302
linux中的文件权限管理文件权限的意义文件权限的查看改变文件的所有人（拥有者）和所有组（拥有组）改变文件的用户权限 文件权限的意义 文件权限是保障系统安全的底层机制之一 它规定了不同用户对于同一文件的不同操作权限 文件权限的查看 ls -l file ls -ld dir ll file ll -d dir 执行结果如下图： -| rw-rw-r-- | 1 | kiosk | kiosk ...
Linux学习笔记35——特定权限设置（比group、user更细的设置）、身份切换（su、sudo）、密码验证过程详解（PAM）、批量创建用户
苏云南雁的博客
01-15 2348
一、主机的细部权限规划：ACL 的使用 从第五章开始，我们就一直强调 Linux 的权限概念是非常重要的！ 但是传统的权限仅有三种身份 （ owner, group, others） 搭配三种权限 （ r,w,x） 而已，并没有办法单纯的针对某一个使用者或某一个群组来设置特定的权限需求，例如前一小节最后的那个任务！ 此时就得要使用 ACL 这个机制啦！这玩意挺有趣的，下面我们就来谈一谈： 1，什么...
鸟哥的Linux私房菜(基础篇)- 第十四章、Linux 账号管理与 ACL 权限配置
GarfieldEr007的专栏
11-04 3604
第十四章、Linux 账号管理与 ACL 权限配置 最近升级日期：2009/09/09 要登陆 Linux 系统一定要有账号与口令才行，否则怎么登陆，您说是吧？不过，不同的使用者应该要拥有不同的权限才行吧？我们还可以透过 user/group 的特殊权限配置，来规范出不同的群组开发项目呢～在 Linux 的环境下，我们可以透过很多方式来限制用户能够使用的系统资源，包括
《鸟哥的Linux私房菜》读书笔记：Linux中的ACL权限设定
SimmerChan的专栏
05-07 588
在linux权限设置中，我们会遇见这样的情况：用户user属于group群组，假设group的权限是770，但我们不希望user修改group中的数据。这时候传统的权限设置就有局限性，无法定制个性化设置。所以我们要使用ACL机制。ACL（access control list）可以针对单一使用者、单一档案或目录来进行r,w,x的权限设定，对于需要特殊权限的使用状况非常有帮助。ACL主要可以针对以下三
linux-用户和权限系统
DCHAO的博客
08-22 476
spark权限系统 用户系统
鸟哥Linux私房菜第四版基础篇
10-25
鸟哥Linux私房菜第四版基础篇高清版本，简体版本非繁体
鸟哥Linux私房菜 基础篇+服务器篇（全）
03-27
鸟哥Linux私房菜 基础篇+服务器篇（全），Linux基础知识，shell脚本及搭建服务器相关，Linux神作。
linux学习鸟哥的私房菜等等
06-16
自己平常整理学习linux中用到的一些资料，真的很有用，希望能够帮到大家。相信这些资料一定能在在未来的学习中解决大部分难题。
Linux学习笔记精华总结（选自鸟哥的Linux私房菜）
01-09
《鸟哥的Linux私房菜-基础篇》这本书挺适合入门的，比较基础的但也有难点，书页1千多页呐（二十五章），而这篇博客把它总结成十章呐（其实都浓缩在一起的），这样就方便我以后有问题可以直接翻阅这篇博客就ok了，也...
鸟哥linux私房菜基础学习篇第三版 高清完整版
09-28
鸟哥linux私房菜基础学习篇第三版 epub格式电子书 完整版
Linux下的权限控制工具setfacl和getfacl详解
harryxlb的专栏
11-09 2846
setfacl [-bkndRLPvh][{-m|-x} acl_spec][{-M|-X} acl_file] file ... setfacl --restore=file 描述 setfacl用来在命令行里设置ACL。在命令行里，一系列的命令跟随以一系列的文件名。 选项-m和-x后边跟以acl规则。多条acl规则以逗号(,)隔开。选项-M和-X用来从文件或标准输入读取
linux absolute path,无法在Linux上使用绝对路径创建Docker卷(Can't create Docker volume using absolute path on Linux...
weixin_42210638的博客
05-16 1348
无法在Linux上使用绝对路径创建Docker卷(Can't create Docker volume using absolute path on Linux)当我试图运行一个Docker容器时，我想通过一个目录共享一些数据(我添加了重点)时收到以下错误消息：## [错误] / usr / bin / docker：来自守护进程的错误响应：create -v / opt / vsts / wor...
基于vBird的Linux常用指令总结
shaozhenged的专栏
03-08 839
主题 概要 Linux指令 Linux常用指令，包括XWindow快捷键，shell命令和常用网络命令 编辑 时间 新建 20160308 序号 参考资料 1 鸟哥的linux私房菜 X Windows快捷键 ##[Alt] + [Ctrl] + [Backspace]： 重启X [Ctrl] + [Alt] + [F1] ~ [
《鸟哥的私房菜基础篇》第四版学习笔记——第13章Linux账号管理与ACL权限设定
喜欢打篮球的普通人
03-28 372
文章目录
鸟哥私房菜 第十四章 Linux账号管理与ACL权限设置
Coldplay_ZHD的博客
10-19 336
Linux账号管理与ACL权限设置   Linux的账号与用户组 用户的标识符：UID与GID 每个登录的用户至少都会取得两个ID，一个是用户ID，即UID，一个是用户组ID，即GID。   用户账号 /etc/passwd文件结构： 每一行使用“:”隔开，共有7个字段。 例：root:x:0:0
[鸟哥linux视频教程整理]04_02_Linux 权限及权限管理
weixin_33889665的博客
12-06 69
一、权限管理 1.chown:改变文件属主（只有管理员才能使用此命令） chown USERNAME file .... -R:修改目录及其内部文件的属主 --reference=/path/to/somefile file,... 属主、组一起改 2.chgrp:改变文件属组 chgrp...
鸟哥的linux私房菜博客目录
kevinhanser
03-01 2701
本文将详细记录我的linux学习过程
Red Hat linux 6.5 学习使用笔记《一》linux系统常用命令
kevinhanser
12-04 2451
Red Hat linux 6.5 学习使用笔记(linux常用命令) 1. 命令行简介 2.查看命令帮助 3.type命令 4.man的用法 5.help的用法 6.ls命令 7.cd命令 8.date命令 9.heclock命令 10.cal命令 11.echo命令 12.printf命令
鸟哥的服务器《十三》Web服务器
kevinhanser
04-20 2267
1. 客户端访问Web服务器的几个 2. HTTP报文详解 3. WWW 所需软件与其结构 4. Apache 服务的配置文件 5. Apache 服务器控制存取方式 6. Apache 服务的高级配置 7. PHP 的默认参数修改 8. 启动WWW服务于测试PHP模块 9. MySQL 的基本设定 10. 安装设置及详细操作 11. 基于openssl的https服务配置
鸟哥linux私房菜第六版pdf
最新发布
01-08
《鸟哥Linux私房菜第六版》是一本非常经典和权威的Linux技术书籍。这本书以深入浅出的方式详细介绍了Linux系统的基础知识、系统安装与配置、用户与组管理、文件与目录管理、磁盘与文件系统、Shell脚本编程、网络管理、安全设置等内容。 在这本书中，作者非常注重实践操作，并提供了大量的示例代码和实战案例。读者可以通过跟随书中的步骤和练习，逐步提高自己的Linux技能和操作能力。 与其他版本相比，第六版在内容上进行了更新和补充。特别是在虚拟化技术、云计算和大数据方面，加入了全新的章节，使读者能够了解和应用最新的技术发展趋势。 此外，这本书还提供了大量的学习资源和辅助工具，如附带的光盘和在线论坛。读者可以通过使用这些资源来加深对书中概念和技术的理解，同时与其他读者进行交流和分享经验。 总之，《鸟哥Linux私房菜第六版》是一本适合初学者和有一定经验的读者的优秀Linux技术入门书籍。它不仅提供了基础知识的讲解，还包含了大量的实践案例和应用技巧，使读者能够系统地学习和掌握Linux操作系统。无论是对于想要从零开始学习Linux的新手，还是对于希望进一步提升Linux技能的工程师来说，这本书都是一份宝贵的学习资料。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值