LInux笔记——权限管理

最新推荐文章于 2020-02-21 16:08:53 发布
最新推荐文章于 2020-02-21 16:08:53 发布
阅读量651 收藏
点赞数
分类专栏： 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Karen_lrx/article/details/80293456
版权

1 ACL权限

1.1 ACL权限简介

访问控制表（Access Control List，ACL），又称存取控制串列，是使用以访问控制矩阵为基础的访问控制表，每一个（文件系统内的）对象对应一个串列主体[1]。访问控制表描述用户或系统进程对每个对象的访问控制权限。

ACL权限控制主要目的是提供传统的owner,group,other的read,wirte,execute权限之外的具体权限设置，可以针对单一用户或组来设置特定的权限。
比如对/project目录，root和group有rwx权限，others无权限，ACL可单独为用户st分配r-x权限，不再考虑用户的身份是什么。
查看分区ACL权限是否开启

root@karen-ubuntu:~# df -h  #查看分区使用状况，用此命令查询/在哪个文件系统
文件系统        容量  已用  可用 已用% 挂载点
udev            3.9G     0  3.9G    0% /dev
tmpfs           791M  9.6M  781M    2% /run
/dev/sdb7        55G   11G   42G   21% /
…………
/dev/sda5       459G   12G  424G    3% /home
tmpfs           791M  108K  791M    1% /run/user/1000

root@karen-ubuntu:~# dumpe2fs -h /dev/sdb7  #查询制定分区详细文件系统信息的命令
dumpe2fs 1.42.13 (17-May-2015)
Filesystem volume name:   <none>
Last mounted on:          /
Default mount options:    user_xattr acl
…………

此时的默认挂载选项支持acl，则分区ACL权限默认开启

临时开启分区ACL权限

root@karen-ubuntu:~# mount -o remount,acl /   #重新挂载根分区，并挂载加入acl权限，关机后失效

永久开启分区ACL权限

root@karen-ubuntu:~# vim /etc/fstab
UUID=5b3b038c-b0e3-43e6-b961-362e03d58032 /               ext4    errors=remount-ro,acl 0       1
#将分区自动挂载选项中添加acl
#errors=remount-ro意思是当挂载发生错误时，重新挂载并以只读的方式进入

1.2 查看与设定ACL权限

查看ACL命令

getfacl 文件名

设定ACL权限

setfacl 选项 文件名

选项：

  • -m：设定ACL权限
  • -x：删除指定的ACL权限
  • -b：删除所有的ACL权限
  • -d：设定默认ACL权限
  • -k：删除默认ACL权限
  • -R：递归设定ACL权限

范例：给用户st设定ACL权限
这里写图片描述

root@karen-laptop:/# groupadd tgroup  #添加用户组tgroup
root@karen-laptop:/# useradd sunny    #添加用户sunny
root@karen-laptop:/# useradd lori     #添加用户lori
root@karen-laptop:/# gpasswd -a sunny tgroup  #将sunny添加到tgroup
root@karen-laptop:/# gpasswd -a lori tgroup   #将lori添加到tgroup
root@karen-laptop:/# cat /etc/group   #显示group信息，可看到sunny和lori已加入tgroup
…………
lori:x:1001:
sunny:x:1002:
tgroup:x:1003:lori,sunny
root@karen-laptop:/# mkdir /project   #新建project目录
root@karen-laptop:/# chown root:tgroup /project  #将project所有者改为root
root@karen-laptop:/# chmod 770 /projrct  #将project权限设为770
root@karen-laptop:/# useradd st    #添加用户st
root@karen-laptop:/# setfacl -m u:st:rx /project  将st用户对project的权限设为r-x
root@karen-laptop:/# getfacl project   #查看project的acl权限
# file: project
# owner: root
# group: tgroup
user::rwx
user:st:r-x    #可看出单独的st用户有着r-x权限
group::rwx
mask::rwx  #最大有效权限mask
other::---

1.3 最大有效权限与删除ACL权限

最大有效权限mask

  • mask是用来制定最大有效权限的。如果我给用户赋予了ACL权限，是需要和mask的权限“相与”才能得到用户的真正权限
root@karen-laptop:/# setfacl -m m:rx /project   
#修改最大有效权限mask为r-x，使用“m：权限”格式

删除ACL权限

root@karen-laptop:/# setfacl -x u:用户名 文件名   
#删除指定用户的ACL权限
root@karen-laptop:/# setfacl -x g:组名 文件名   
#删除指定用户组的ACL权限
root@karen-laptop:/# setfacl -b 文件名   
#删除文件的所有的ACL权限

1.4 默认ACL权限和递归ACL权限

递归ACL权限

  • 递归是父目录在设定ACL权限是，所有的子文件和子目录也会拥有相同的ACL权限
root@karen-laptop:/# setfacl -m u:用户名:权限 -R 文件名    
#对目录下的子目录也进行递归的ACL权限设置，但对于父目录下新建的子文件不具有此效应
root@karen-laptop:/# setfacl -m -d u:用户名:权限 -R 文件名
#对目录下的子目录也进行递归的ACL权限设置,并且父目录下所有的新建子文件也会继承父目录的ACL权限

2 文件特殊权限

2.1 SetUID

SetUID的功能

  • 只有可以执行的二进制程序才能设定SUID权限
  • 命令执行者要对该程序拥有x（执行）权限
  • 命令执行者在执行该程序时获得该程序文件属主的身份（在执行程序的过程中灵魂附体为文件的属主）
  • SetUID权限只在该程序执行过程中有效，也就是说身份改变只在程序执行过程中有效

设定SetUID的方法

  • 4代表SUID
    • chmod 4755 文件名
    • chmod u+s 文件名

取消SetUID的方法

  • chmod 755 文件名
  • chmod u-s 文件名

危险的SetUID
- 关键目录应严格控制写权限。比如“/”、“/usr”等
- 用户的密码设置要严格遵守密码三原则
- 对系统中默认应该具有SetUID权限的文件作一列表，定时检查有没有这之外的文件被设置了SetUID权限

2.2 SetGID

SetGID针对文件的功能
- 只有可执行的二进制程序才能设置权限
- 命令执行者要对该程序拥有x（执行）权限
- 命令执行在执行程序的时候，组身份升级为该程序文件的属组
- SetGID权限同样只在该程序执行过程中有效，也就是说组身份改变只在程序执行过程中有效

SetGID针对目录的作用
- 普通用户必须对此目录拥有r和x权限，才能进入此目录
- 普通用户在此目录中的有效组会变成此目录的属组
- 若普通用户对此目录拥有w权限时，新建的文件的默认属组是这个目录的属组

设定SetGID

  • 2代表SGID
    • chmod 2755 文件名
    • chmod g+s 文件名

取消SetGID

  • chmod 755 文件名
  • chmod g-s 文件名
root@karen-ubuntu:/home/karen# cd /tmp
root@karen-ubuntu:/tmp# mkdir dtest
root@karen-ubuntu:/tmp# chmod g+s dtest    #为目录dtest设定SGID
root@karen-ubuntu:/tmp# ll -d dtest
drwxr-sr-x 2 root root 4096 5月  14 11:07 dtest/      
root@karen-ubuntu:/tmp# chmod 777 dtest
root@karen-ubuntu:/tmp# su - karen
karen@karen-ubuntu:~$ cd /tmp/dtest
karen@karen-ubuntu:/tmp/dtest$ touch abc
karen@karen-ubuntu:/tmp/dtest$ ll   #因为设置了SGID，abc文件的所有者为karen，所属组还是为root组
总用量 8
drwxrwsrwx  2 root  root 4096 5月  14 11:08 ./
drwxrwxrwt 14 root  root 4096 5月  14 11:07 ../
-rw-rw-r--  1 karen root    0 5月  14 11:08 abc

2.3 Sticky BIT

SBIT粘着位作用

  • 粘着位目前只对目录有效
  • 普通用户对该目录拥有w和x权限，即普通用户可以在此目录拥有写入权限
  • 如果没有粘着位，因为普通用户拥有w权限，所以可以删除此目录下所有文件，包括其他用户建立的文件。一旦赋予了粘着位，除了root可以删除所有文件，普通用户就算拥有w权限，也只能删除自己建立的文件，但是不能删除其他用户建立的文件
karen@karen-ubuntu:/tmp$ touch test   #用karen用户创建test文件
karen@karen-ubuntu:/tmp$ su - sunny   #切换成用户sunny
密码： 
sunny@karen-ubuntu:~$ whoami
sunny
sunny@karen-ubuntu:~$ cd /tmp
sunny@karen-ubuntu:/tmp$ ls
karen-test  sogou_sync_fifo  test  uud_added.zip
sunny@karen-ubuntu:/tmp$ rm -rf test  #用sunny用户删除test文件时报错
rm: 无法删除'test': 不允许的操作
sunny@karen-ubuntu:/tmp$ ll -d /tmp  #因为有粘着位，所以即使其他用户有写权限但并不能随意删除不是该用户创建的文件
drwxrwxrwt 4 root root 4096 5月  14 16:07 /tmp/

总结：

  • SUID只针对文件
  • SGID针对目录和文件
  • SBIT只针对目录

3 文件系统属性chattr权限

3.1 chattr命令格式

chattr [+-=] [选项] 文件或目录名
  +：增加权限
  -：删除权限
  =：等于某权限

选项：

  • i：如果对文件设置i属性，那么不允许对文件进行删除、改名，也不能添加和修改数据；如果对目录设置i属性，那么只能修改目录下文件的数据，但不允许建立和删除文件（包括root用户）
  • a：如果对文件设置a属性，那么只能在文件中增加数据，但是不能删除也不能修改数据；如果对目录设置a属性，那么只允许在目录这种建立和修改文件，但是不允许删除

3.2 查看文件系统属性

lsattr [选项] 文件名

选项：
-a 显示所有文件和目录
-d 日批目标是目录，仅列出目录本身的属性，而不是子文件的

root@karen-ubuntu:/home/karen# touch abc
root@karen-ubuntu:/home/karen# ll
总用量 240
drwxr-xr-x 33 karen karen  4096 5月  15 08:49 ./
drwxr-xr-x  5 root  root   4096 5月  14 15:22 ../
-rw-r--r--  1 root  root      0 5月  15 08:49 abc
…………
root@karen-ubuntu:/home/karen# echo 111 >> abc   #对abc写入数据111
root@karen-ubuntu:/home/karen# cat abc           #查看abc文件内容
111
root@karen-ubuntu:/home/karen# chattr +i abc     #对abc文件添加chattr权限
root@karen-ubuntu:/home/karen# lsattr -a abc     #查看文件系统属性
----i--------e-- abc
root@karen-ubuntu:/home/karen# echo 1111 >> abc  #尝试对abc文件写入数据，由于添加了chattr权限，操作不被允许
bash: abc: 不允许的操作
root@karen-ubuntu:/home/karen# rm abc  
rm: 无法删除'abc': 不允许的操作
root@karen-ubuntu:/home/karen# chattr -i abc   #取消abc文件的chattr权限
root@karen-ubuntu:/home/karen# rm abc          #此时的删除命令可生效

4 系统命令sudo权限

4.1 sudo权限

  • root把本来只能超级用户执行的命令赋予普通用户执行
  • sudo的操作对象是系统命令

4.2 sudo使用

当你安装Ubuntu的时候，它会自动添加第一个用户到sudo组，允许这个用户通过键入其自身帐户密码来获得超级用户(root)身份。然而，系统不会再自动添加其他的用户到sudo组当中去。如果你想在你的共享系统上授予某人某些超级用户特权，你必须给予他们sudo权利。 

root@karen-ubuntu:/home/karen# visudo  #打开/etc/sudoers文件
…………
# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL                    #可在这之后添加sudo用户，如添加sunny用户的sudo权限
sunny   ALL=/sbin/shutdown -r now            #root授权sunny用户实现重启权限
# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL                                       #admin前加%意思为admin用户组的权限

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL                                  #sudo前加%意思为sudo用户组的权限

# See sudoers(5) for more information on "#include" directives:
…………
root@karen-ubuntu:~# su-sunny    #切换为sunny用户
sunny@karen-ubuntu:~$ sudo -l    #列出目前用户可执行与无法执行的指令
[sudo] sunny 的密码： 
匹配 %2$s 上 %1$s 的默认条目：
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

用户 sunny 可以在 karen-ubuntu 上运行以下命令：
    (root) /sbin/shutdown -r now        #可知sunny用户可用sudo执行重启命令
sunny@karen-ubuntu:~$ sudo /sbin/shutdown -r now    #注意必须用绝对路径实现sudo命令
Karen_lrx
关注
专栏目录
Linux学习笔记——CentOS
MCC
04-20 3万+
Linux1 介绍2 安装3 Linux 的目录结构4 远程操作工具5 1 介绍 Linux 是一个开源、免费的操作系统，具有很强的稳定性、安全性、以及处理多并发的能力，目前大多数企业级应用甚至是集群项目都部署运行在 Linux 操作系统上，很多软件公司考虑到开发成本都首选Linux，Linux 在中国软件公司得到了广泛的使用。 Linux 的主要发行版本有以下几种： Ubuntu（乌班图）、RedHat（红帽）、CentOS、Debain（蝶变）、Fedora、SuSE、OpenSUSE、红旗Li
Linux笔记——删除原理以及inode、block、superblock
awakeinging_的博客
07-21 699
文章目录删除原理rm命令软链接与硬链接 删除原理 rm命令 参数 作用 -f 强制删除，忽略不存在的文件，从不给出提示 -i 交互式删除，删除时给出提示 -r 递归删除目录下面文件以及子目录的文件 -R 同r -v 显示运行时详细信息 软链接与硬链接 ...
权限管理 —— ACL权限
Jia ming 的日常学习笔记
02-18 359
CentOS笔记（二十三）
单用户模式下mount -o remount,rw / 有大用途
Crett
10-10 6233
我们的Linux系统在无法启动时候，通常需要进入单用户模式下进行修改一些配置文件，或调整一些参数方可。但是在进入单用户模式后，我们的/文件系统是只读模式，无法进行修改，那么这个时候我们就需要用到一条命令：mount –o remount,rw / 这个命令来让我们的/路径文件系统为可读模式，这样就可以实现自由修改了。 例如： 增加了/etc/mtab /dev/sdb1 /i
解除Ubuntu系统的root登录图形界面限制
cuijiaxian1312的博客
07-11 228
Ubuntu18.04.1开发团队为了Ubuntu18.04.1系统的安全，默认root不能登录图形界面，普通用户需要使用root权限时，只能通过sudo [ 命令 ] [参数] 临时使用root...
Linux中挂载详解以及mount命令用法
热门推荐
daydayup654的博客
12-13 45万+
挂载概念 Linux中的根目录以外的文件要想被访问，需要将其“关联”到根目录下的某个目录来实现，这种关联操作就是“挂载”，这个目录就是“挂载点”，解除次关联关系的过程称之为“卸载”。 注意：“挂载点”的目录需要以下几个要求： （1）目录事先存在，可以用mkdir命令新建目录； （2）挂载点目录不可被其他进程使用到； （3）挂载点下原有文件将被隐藏。 挂载与卸载 挂载方法：
Linux--ACL权限--简介和开启
喜三仔的世界
05-05 1385
qq
在hqyj的学习笔记——关于Linux的基础命令
08-14
7. 常用文件管理命令： - `mkdir`：创建新目录。 - `rm`：删除文件或目录，加上 `-r` 参数可以删除目录。 - `touch`：创建新文件或更新文件时间戳。 - `vi`：文本编辑器，用于创建或修改文件。 - `cp`：复制...
安卓笔记——安卓详细笔记汇总
12-20
这份名为“安卓笔记——安卓详细笔记汇总”的资源，无疑是安卓开发者或者学习者的重要参考资料。以下将对这个压缩包中可能包含的知识点进行深入解析。 首先，Android系统是基于Linux内核的开源操作系统，广泛应用于...
linux笔记——shell脚本编程
gitfight
02-21 373
shell脚本基本知识 shell脚本本质：shell命令的有序集合 编译型语言、解释性语言：shell shell编程基本步骤： 1、创建shell文件（.sh） 2、赋予shell文件执行权限：用chmod修改权限 3、执行shell文件：直接在命令行调用shell程序 实例 1、创建shell文件： $ cat prog1.sh date 2、赋予执行权限（初始文本文件无执行权限）： $...
mount命令及参数详解
酷酷滴程序猿の博客
03-08 1万+
mount命令及参数详解
linux 入门命令
啊 啊哩路呀
07-08 1595
接触ubuntu linux已经快3个月了，感觉比win xp 好很多。有一种掌控系统的绝对权。下面我将分几个层次的讲解ubuntu 在命令行下使用ubuntu .    使用终端    如果你需要使用到终端（快捷键:alt+F2，输入gnome-terminal）,也可以在"应用程序"-->"附件"-->"终端"。    登陆    如果你使用了GNOME的话，那么在界面输入你的用户名与密码就可
对于Tencent Files文件夹需要来自LAPTOP-PH9TIHGE\用户名的权限才能删除的解决办法
行秋的博客
09-17 2万+
前言： Tencent Files占用C盘很大内存空间，主要用来保存缓存文件。我们的聊天记录，发送的图片都保存在Tencent Files文件夹里，里面显示的数字是你在电脑上登录过的QQ号的信息。如果自己没有重要的QQ信息，可以删除Tencent Files文件，以为C盘提供更多的内存空间。 问题描述： 删除的时候首先要退出QQ，不然会提示：操作无法完成，因为其中的文件夹或文件已在另一...
TRIGGER command denied to user 'root'@'LAPTOP-M7KUFN86' for table 'growtest' | Table 'MyDatabase.t...
weixin_30757793的博客
12-08 747
是因为创建表的时候，用户权限不够 NaviCat for Mysql 用这个工具打开MYSQL 在用户 下找到 root@% 这个用户，双击打开 设置服务器权限，最后两个权限勾上就OK 了,需要把MYSQL重启。 表写入数据，提示 Table 'MyDatabase.tmpIdentity_Invites' doesn't exist ，是因为TRIGGER command denied ...
启动laptop-mod-tools，解决ubuntu挂起后无法唤醒
05-25 1700
虽然系统已自动安装了laptop-mode-tools，但是是不是就自动启动了laptop_mode模式了呢？我们用下列命令来判断Laptop是否启用了laptop_mode，如果显示结果为0，则表示未启动，如果为非0的数字则表示启动了。 cat /proc/sys/vm/laptop_m...
Magehao's Linux学习笔记：从入门到精通
在《Linux学习笔记》中，作者首先介绍了Linux的基本概念，包括Linux的起源——由Linus Torvalds发起的开源项目，以及版本号的构成规则，其中单数次要版本号表示测试版，双数则代表正式发行版。此外，笔记还强调了...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值