Linux权限管理

摘要：Linux的基本权限和特殊权限介绍

一 Linux基本权限

    1.文件基本权限

        1.基本权限的修改

            -(-普通文件 d目录 l软链接)rw-(u所有者)r--(g所数组)r--(o其他人).  (r读 w写 x执行)

            chmod [] 模式 文件名

                -R 递归 （当前目录所执行的权限全赋给目录下文件）

                模式： [who(ugoa)][+-=][rwx] chmod a+r file 所有人加读权限

                           [(7(u rwx)5(g r-x)5(o r-x))( 4(r)2(w)1(x)) ]  chmod 0755 file  

        2.权限作用

            1.权限对文件作用（最高权限x）

                r:读取文件内容(cat more head tail)

                w:编辑、新增、修改文件内容（vi echo）不能删除（文件是否能删除要看文件所在目录是否有w权限）

                x:执行  

            2.权限对目录的作用（最高权限w）

                r:可以查询目录下的文件名（ls）

                w:具有修改目录结构。新建、删除、剪切、重命名文件或目录（rm mv cp）

                x:进入目录（cd）

        3.其他权限命令

            chown user(:group) file 改变文件所有者为user(所属组改为group)

            chgrp group file 改变文件所属组为group

    2.文件的默认权限

        umask 查看默认权限 （0(特殊权限)022（文件权限=最大权(文件666 目录777)限对应字母-022对应字母)）

        umask 0222 临时修改 (/etc/profile永久生效)

二 Linux特殊权限

    1.ACL权限（尽量少用acl 容易造成权限溢出）

        1.ACL权限简介

              默认权限有三组 u所有者 g所属组 o其他人  不适合复杂的文件系统权限控制。ACL就是另外设定特定用户或组对于文件/目录的操作权限，解决用户身份不够

        2.查看分区ACL权限是否开启

            dumpe2fs -h /dev/sda5 查看分区详细文件系统信息

                -h 仅显示超级块中信息，不显示磁盘组的详细信息

        3.临时开启分区ACL权限

            mountain -o remount,acl / 重新挂载根分区，并加载acl权限

        4.永久开启分区ACL权限

            vi /etc/fstab 加入acl(default默认已开启)

            mount -o remount 重新挂载

        5.查看与设定ACL

            getfacl file 查看acl权限

        6.设定ACL权限

            setfacl -m u(g):user(group):r-- file

                -m 设定acl权限

                    -x  u(g):user(group) 删除指定acl权限

                   -b 删除所有acl权限

                -d (setfacl -m d:u(g):user(group):--- 目录名)设定默认acl权限

                    （默认acl权限：设定父目录acl权限,并建立 模版 ， 此后 在该目录创建文件或目录也拥有同样acl权限）

                -k 删除默认acl权限

                -R (setfacl -m u(g):user(group):--- -R 目录名)设定递归acl权限

                    （递归acl权限：设定父目录acl权限，并传递给该目录下 已建立 子文件和子目录  一次性作用 ）

        7.最大有效权限mask

            mask用来指定最大有效权限，用户真正的权限=mask权限&&设定权限

    2.sudo权限

        1.sodu权限简介

            root把只能超级用户执行的命令赋给普通用户执行

            sudo操作对象是系统命令

        2.sodu使用

            visudo(=vi /etc/sudoers)

                   文件添加： username（%groupname） ALL(被管理主机地址ip)=（ALL）(赋予身份（省略默认root）) 授权命令（绝对路径）

    3.文件特殊权限(不安全权限)

        1.SetUID（不安全权限）

            1.SetUID（只能针对文件）

                二进制可执行程序才能设SUID

                命令执行者对程序有x（执行）权限

                命令执行者执行程序时身份是该程序所有者

                命令执行者权限改变只在程序执行过程有效

            2.SetUID权限设定

                chmod 4755(u+s) file （-rwsr-xr-x）设定SUID权限

            3.SetUID危险

                   对系统默认SetUID权限文件做列表，定期检查有没有之外文件被设置SUID权限

        2.SetGID（不安全权限）

            1.SetGID针对文件作用

                二进制可执行程序才能设SUID

                命令执行者对程序有x（执行）权限

                命令执行者执行程序时身份是该程序所属组

                命令执行者权限改变只在程序执行过程有效

            2.SetGID针对目录作用

                用户对目录有r和x权限

                用户在目录下有效组变成此目录所属组

                用户在目录下创建的新文件（用户对目录有w权限），此文件所属组为该目录所属组

            3.SetGID权限设定

                chmod 2755( g+s) file (-rwxr-sr-x) 设定SGID权限

        3.Sticky BIT

            1.SBIT黏着位权限(只能针对目录)

                用户对目录有w和x权限

                用户不能删除该目录下其他用户建立的文件

            2.SBIT权限设定

                chmod 1777(o+t) dir （drwxrwxrwt） 设定SBIT权限

    4.不可改变权限（chattr）

        1.chattr （+/-） 添加删除权限

            +i(insert) 文件：不能删除、改名，添加修改数据；目录：只能修改目录下文件数据，不能新建、删除文件。

            +a(append) 文件：只能添加数据，不能删除、修改；目录：只能建立修改目录下文件，不能删除。

        2.lsattr 查看文件系统属性

            -a 显示所有文件目录

            -d 列出目录本身信息