ACL

ACL是什么

ACL是对普通权限管理的扩展。普通的权限管理只针对owner,group,other。 但有的时候，需要给other用户中的某个人对文件具有更高的权限。这时候，你有两种方式来解决这个问题：

1. 把该用户加入group组中（group组如果具有该权限的话）

2. 把other的权限都加大

可是这样就会产生新的问题。如果按照方法一，加入group，那么该用户不但可以对该文件具有了更高权限，它对其它一些文件也会具有更高权限，因为它具有了group的权限。如果采用方法二，提高other的权限，那就更不可取了，因为那意味着很多人都将具有这一更高的权限，这一都会造成安全隐患。

ACL可以很好的解决这一问题，它可以指定特定用户对特定文件的权限，不需要把用户加入group也不用改变other的权限。

学习ACL需要了解的3个概念

ACL ENTRY

UMASK

MASK

ACL entry。 ACL entry实际上是ACL机制中对于权限的一种表示。它的格式如下：

u::perm   		owner的权限
g::perm   		group的权限
o::perm			普通other的权限
u:uid:perm		特定用户的权限
g:gid:perm		特定组的权限
m:perm			mask

举个例子， u:tom:rwx   这个ACL entry就代表 用户 tom 对改文件或目录具有rwx的权限。同样的 g:bhr:rx- 这个ACL entry就代表bhr这个组的用户对该文件或目录具有读写权限。

那么，很明显了，进行ACL操作最重要的就是把这些ACL entry赋予给某个文件，或者从某个文件上删除，再或者修改这些ACL entry的内容。

umask。 在我们创建一个目录，或者文件的时候，该目录或者文件默认就会具有perm属性，比如是777 或者是655.  那么这些属性是从哪来的呢？就是通过umask变量控制的。如果你当前的umask是022 那么你创建的目录或文件的权限则是777 - 022.

mask。是ACL自己的一个概念，我们看下面的例子

bash-2.03# setfacl -m u:jiyang:rw- f1
bash-2.03# getfacl f1

# file: f1
# owner: root
# group: other
user::rw-
user:jiyang:rw-         #effective:r--
group::r--              #effective:r--
mask:r--
other:r--

可以看到mask 其实是一个权限位，在这里是r-- 。 同时，我们看到在acl entry jiyang和group 跟着#effective： r-- 这样的信息。其实这个effective就是jiyang 和 group真正对文件具有的权限。可是我们为改文件添加的acl entry是 u:jiyang:rw- 啊， 怎么会只具有r--权限呢？ 这是因为新添加的acl entry的权限 以及 group的权限都是由mask控制的。他们实际具有的权限是与mask取交集之后所得的结果。

这就是mask存在的意义了，它限制新加acl entry的权限以及group的权限。但不影响owner，和other的权限。 默认情况下，如果从来没有用setfacl为一个文件赋予ACL特性，也就是说一个文件没有激活ACL，那么mask的值是group的值。

ls命令

一个文件，在设置了ACL后，用ls命令查看会略有不同

bash-2.03# ls -l *
-rw-r--r--+  1 root     other          0 Jul 30 10:49 f1
-rw-r--r--   1 root     other          0 Jul 30 10:49 f2

f1是设置了 acl的，所以它的权限位后面多了一个+标志。

setfacl

     setfacl [ -r ]  -s acl_entries file

     setfacl [ -r ]  -md acl_entries file

     setfacl [ -r ]  -f acl_filefile

-r 是重新计算mask，计算的mask结果要求满足所有权限需求。

-s是设置acl，会替换原有acl

-m是modify

-d 是delete

-f 是file的意思，把acl entry放到一个文件里，批量修改

默认ACL

可以为一个目录设置默认ACL，注意只能是目录，不能是文件。因为默认ACL的意义是让目录内的内容具有默认的acl。

1.如果具有默认acl的目录内是文件，那么文件的acl是666与默认acl的差值

2.如果默认acl内是目录，那么目录具有上级目录的默认acl权限

3.如果目录在设置默认acl之前已经具有内容，那么原来的内容不会受影响

4.默认acl的acl 条目是普通acl前加一个default:   , 要注意也是由冒号做间隔符号