1.6 Linux系统中的权限管理

权限查看及读取

权限查看

ls -l file 		##查看文件权限
ls -ld dir 		##查看目录权限

权限的读取

文件的属性被叫做文件的元数据(meta data)
因为属性有很多种,因此元数据也有很多个,一种元数据用1个byte来记录其内容.
因此通过文件的元数据占用的物理空间就能算出文件的属性个数.

#文件权限信息#
| rw-r–r-- | . | 1 | root | root | 0 | Apr 12 10:57 | File
[1] [2] [3] [4] [5] [6] [7] [8] [9]

#目录权限信息#
d | rw-r–r-- | . | 2 | root | root | 0 | Apr 12 10:57 | Dir
[1] [2] [3] [4] [5] [6] [7] [8] [9]

#对于每一位的解释#
[1] 文件类型
- 普通文件
d 目录
l 软连接
b 快设备
c 字符设备
s socket套接字
p 管道
 
[2] 用户权限
3位一组,一共9位,分别表示文件所有者的权限/文件所有组的权限/其他人的权限.
 
[3] 系统的selinux开启
 
[4] 系统记录
对于文件：文件内容被系统记录的次数（硬链接个数）
对于目录：目录中子目录的个数
 
[5] 文件拥有者
 
[6] 文件拥有组
 
[7] 文件大小/目录中子文件的元数据大小
对于文件：文件内容大小
对于目录：目录中子文件的元数据大小
 
[8] 文件内容被修改的时间
 
[9] 文件名称

普通权限的类型及作用

1. 用户对文件的身份
   u: user 文件的拥有者
   g: group 文件拥有组
   o: other 既不是拥有者也不是拥有组成员的其他用户的通称

2. 权限位
   3位一组,一共9位,分别表示文件所有者的权限/文件所有组的权限/其他人的权限.

3. 用户身份匹配优先级
   user>group>other

4. 权限类型

- 	权限未开启
 
r 	可读
	对于文件：可以读取文件内容
	对于目录：可以ls列出目录中的文件
w 	可写
	对于文件：可以更改文件内容
	对于目录：可以在目录中新建或者删除文件
x 	可执行
	对于文件：可以用文件名称调用文件内记录的程序
	对于目录：可以进入目录中

因此目录可写的前提是拥有操作权限,而文件不需要.

设定普通权限的方法

chmod		##设定文件权限

##复制权限
chmod --reference=/tmp /mnt/Test 	##使得Test的权限与tmp相同
chmod -R --reference=/tmp /mnt/Test ##同时也使得Test内子文件和子目录与tmp目录权限相同. -R表示递归操作
 
##字符方式设定权限
chmod <a|u|g|o><+|-|=><r|w|x> file ##用字符方式对文件/目录赋予权限
+	表示在原有基础上增加权限
-	表示在原有基础上删除权限
-	表示用设置的权限覆盖原有权限

##数字方式设定权限
权限波尔指表示方式
rwx = 111 
--- = 000
以此类推用二进制方式对9位权限进行表示
三位二进制可以表示的最大范围为8的"8进制"数
rwx=111=7
rw-=110=6
r-x=101=5
r--=100=4=r
-wx=011=3
-w-=010=2=w
--x=001=1=x
---=000=0

系统默认权限设定

系统存在的意义是共享资源,从安全角度讲系统共享的资源越少，开放的权力越小,可被他人访问的资源就越少,系统安全性越高.
既要保证系统安全，又要系统创造价值，就应该把应该开放的权力默认开放,把不安全的权力默认保留.

如何保留权力

umask表示系统保留权力
umask 		#查看保留权力
umask 权限值 #临时设定系统预留权力

目录默认权限 = 777-umask
文件默认权限 = 777-umask-111
umask值越大系统安全性越高
但能够操作的资源也就越少
 
#永久更改
永久修改需要对Shell配置文件和系统环境配置文件进行修改.

vim /etc/bashrc
if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
		umask 002 ##普通用户的umask
	else
		umask 077 ##root用户的umask
	fi
 
 
vim /etc/profile ##系统环境配置文件
if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
		umask 002 #普通用户的umask
	else
		umask 077 ##root用户的umask
	fi
 
source /etc/bashrc 		##使内容改动立即被系统识别
source /etc/profile		##使内容改动立即被系统识别

文件拥有者/拥有组管理

chown username file 			##更改文件拥有者
chgrp groupname  file 			##更改文件拥有组
 
chown username:groupname file 	##同时更改文件的拥有者和拥有组

-R								##递归修改,只能以目录为操作对象

特殊权限管理

stickyid 粘制位
当粘制位开启时,开启粘制位的文件只能被文件所有者删除.当操作对象为目录时,目录内所有的文件都只能被所有者删除.

chmod 1原始权限 dir ##数字方式增加粘制位
chmod o+t dir ##代码方式增加粘制位

sgid 强制位
强制位是针对目录的特殊权限,在开启强制位的目录中创建的新文件都会自动归属到目录的所属组中.

chmod  2原权限 dir	##数字方式增加强制位
chmod g+s dir		##代码方式增加强制位

对被赋予强制位的二进制的可执行文件(c程序)而言,运行二进制可执行文件时都是用文件拥有组身份运行,和执行用户身份无关.

suid 冒险位
对被赋予冒险位的二进制的可执行文件(c程序)而言,运行二进制可执行文件时都是用文件拥有者身份运行,和执行用户身份无关.

chmod 4原属性 file	##数字方式增加冒险位
chmod u+s file		##代码方式增加冒险位

三种特殊权限可以组合设置,对1,2,4进行加算赋值即可.

ACL权限列表

ACL,全称Aiccess Control Lists,访问控制列表.
功能为在列表中可以设定特殊用户对与特殊文件的特殊权限.

ACL列表开启标识
当ls查看文件/目录权限时,如果看到9位权限位后有+则表示已经开启了ACL权限列表.

控制ACL列表

setfacl -m u:Test:rw TestFile 			##设定Test用户对TestFile文件有特殊读写权限
setfacl -m g:home:rw TestFile			##设定home用户组内的用户对TestFile文件有特殊读写权限
setfacl -m u::rwx TestFile
setfacl -m g::0 westosfile
setfacl -x u:Test						##删除列表中Test用户相关项
setfacl -b TestFile						##关闭TestFile文件的ACL列表

ACL列表权限读取

getfacl 文件名

注意事项
在ACL文件权限列表开启后,使用ls -l方式读取的权限是不准确的,观察到有+时使用getfacl命令进行查看.
同理,在ACL文件权限列表开启后用chmod对文件权限进行修改也会影响ACL权限列表的内容.

ACL权限优先级

拥有者 > 特殊指定用户 > 权限多的组 >权限少的组 > 其他

Mask
Mask是ACL列表中的约束项,是能够赋予指定用户权限的最大阀值,当赋予的权限高于Mask的权限时,赋予的权限会失效.
chmod修改文件权限时影响的也是mask.

可以通过

setfacl -m m:权限 文件

进行修改或修正

setfacl -m 			##只对文件/目录本身生效
setfacl -Rm 		##对目录和目录中已经存在的内容生效

以上的命令之针对与存在的文件生效，新建文件是不会被设定的

可以通过增加d参数来对新建文件进行生效设置,举例如下
setfacl -m d:u:Test:rwx /mnt/TestDir/	##对/mnt/TestDir目录下所有的新增文件赋予Test用户全权限.

因此在设置时,对已经存在文件的设置对新增文件的设置都应该纳入考虑.

Attr权限

在我们已经学过的内容中,root用户仿佛永远跳脱各种限制之外,包括本文的文件权限设置.但实际上也有对root用户其效的权限限制,也就算attr权限,
attr权限限制包括root的所有用户.

attr特殊权限
i		##表示不能对目标做任何的更改
a		##表示可以增加但不能删除

lsattr dir|file 				##查看目标的attr权限
chattr +i|+a|-i|-a dir|file 	##设定目标的attr权限

+表示添加attr权限,-表示去除attr权限.