Linux的ACL权限

什么是 ACL 权限?

在普通权限中,用户对文件只有三种身份,就是属主、属组和其他人;每种用户身份拥有读(read)、写(write)和执行(execute)三种权限。但是在实际工作中,这三种身份实在是不够用,我们举个例子来看看。

 

图 1 的根目录中有一个 /project 目录,这是班级的项目目录。班级中的每个学员都可以访问和修改这个目录,老师也需要对这个目录拥有访问和修改权限,其他班级的学员当然不能访问这个目录。需要怎么规划这个目录的权限呢?应该这样:老师使用 root 用户,作为这个目录的属主,权限为 rwx;班级所有的学员都加入 tgroup 组,使 tgroup 组作为 /project 目录的属组,权限是 rwx;其他人的权限设定为 0。这样这个目录的权限就可以符合我们的项目开发要求了。

有一天,班里来了一位试听的学员 st,她必须能够访问 /project 目录,所以必须对这个目录拥有 r 和 x 权限;但是她又没有学习过以前的课程,所以不能赋予她 w 权限,怕她改错了目录中的内容,所以学员 st 的权限就是 r-x。可是如何分配她的身份呢?变为属主?当然不行,要不 root 该放哪里?加入 tgroup 组?也不行,因为 tgroup 组的权限是 rwx,而我们要求学员 st 的权限是 r-x。如果把其他人的权限改为 r-x 呢?这样一来,其他班级的所有学员都可以访问 /project 目录了。

当出现这种情况时,普通权限中的三种身份就不够用了。ACL 权限就是为了解决这个问题的。在使用 ACL 权限给用户 st 陚予权限时,st 既不是 /project 目录的属主,也不是属组,仅仅赋予用户 st 针对此目录的 r-x 权限。这有些类似于 Windows 系统中分配权限的方式,单独指定用户并单独分配权限,这样就解决了用户身份不足的问题。

ACL是Access Control List(访问控制列表)的缩写,不过在Linux系统中,ACL用于设定用户针对文件的权限,而不是在交换路由器中用来控制数据访问的功能(类似于防火墙)

开启 ACL

dumpe2fs 命令是查询指定分区详细文件系统信息的命令

[root@iZbp143t3oxhfc3ar7jey0Z ~]# df -h
Filesystem      Size  Used Avail Use% Mounted on
devtmpfs        1.9G     0  1.9G   0% /dev
tmpfs           1.9G     0  1.9G   0% /dev/shm
tmpfs           1.9G  580K  1.9G   1% /run
tmpfs           1.9G     0  1.9G   0% /sys/fs/cgroup
/dev/vda1        40G  6.6G   31G  18% /
tmpfs           379M     0  379M   0% /run/user/0
[root@iZbp143t3oxhfc3ar7jey0Z ~]# dumpe2fs -h /dev/vda1
dumpe2fs 1.42.9 (28-Dec-2013)
Filesystem volume name:   <none>
Last mounted on:          /
Filesystem UUID:          1114fe9e-2309-4580-b183-d778e6d97397
Filesystem magic number:  0xEF53
Filesystem revision #:    1 (dynamic)
Filesystem features:      has_journal ext_attr resize_inode dir_index filetype n                                                                                        eeds_recovery extent flex_bg sparse_super large_file huge_file uninit_bg dir_nli                                                                                        nk extra_isize
Filesystem flags:         signed_directory_hash
Default mount options:    user_xattr acl
Filesystem state:         clean
Errors behavior:          Continue
Filesystem OS type:       Linux
Inode count:              2621440
Block count:              10484164

如上所示,已经开启了ACL权限,假如没有开启的话,可以如下所示

[root@localhost ~]# mount -o remount,acl /
#重新挂载根分区,并挂载加入 acl 权限

如果想永久开启的话,可以通过修改/etc/fstab 文件,永久开启 ACL 权限:

[root@localhost ~]# vi /etc/fstab
UUID=c2ca6f57-b15c-43ea-bca0-f239083d8bd2 / ext4 defaults ,acl 1 1
#加入 acl
[root@localhost ~]# mount -o remount /
#重新挂载文件系统或重启动系统,使修改生效

ACL演示

 常用的命令如下:

setfacl -m u:用户名:权限 文件名
setfacl -m g:组名:权限 文件名
setfacl -m u:aa:rwx /test 给 test 目录赋予 aa 是读写执行的 ACL 权限
setfacl -m u:cc:rx -R soft/ 赋予递归 ACL 权限,只能赋予目录 -R 递归
setfacl -m d:u:aa:rwx -R /test ACL 默认权限。 注意:默认权限只能赋予目录
注意:如果给目录赋予 acl 权限,两条命令都要输入
递归与默认的区别:
setfacl -m u:cc:rx -R soft/ 只对已经存在的文件生效
setfacl -m d:u:aa:rwx -R /test 只对以后新建的文件生效

演示如下:

[root@iZbp143t3oxhfc3ar7jey0Z /]# chmod 750 /www
[root@iZbp143t3oxhfc3ar7jey0Z /]# useradd st
[root@iZbp143t3oxhfc3ar7jey0Z /]# passwd st
Changing password for user st.
New password:
BAD PASSWORD: The password is shorter than 8 characters
Retype new password:
passwd: all authentication tokens updated successfully.
[root@iZbp143t3oxhfc3ar7jey0Z /]# setf
setfacl   setfiles  setfont
[root@iZbp143t3oxhfc3ar7jey0Z /]# setfacl -m u:st:5 /www/
[root@iZbp143t3oxhfc3ar7jey0Z /]# ll -d /www/
drwxr-x---+ 2 root root 4096 Mar 25 20:14 /www/
[root@iZbp143t3oxhfc3ar7jey0Z /]# getfacl /www/
getfacl: Removing leading '/' from absolute path names
# file: www/
# owner: root
# group: root
user::rwx
user:st:r-x
group::r-x
mask::r-x
other::---
[root@iZbp143t3oxhfc3ar7jey0Z /]# setfacl -m u:st:5 -R /www/
[root@iZbp143t3oxhfc3ar7jey0Z www]# ll
total 0
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 abc
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 bcd
[root@iZbp143t3oxhfc3ar7jey0Z www]# getfacl abc
# file: abc
# owner: root
# group: root
user::rw-
user:st:r-x
group::r--
mask::r-x
other::r--

[root@iZbp143t3oxhfc3ar7jey0Z www]# setfacl -m d:u:st:5 -R /www/
[root@iZbp143t3oxhfc3ar7jey0Z www]# getfacl /www/
getfacl: Removing leading '/' from absolute path names
# file: www/
# owner: root
# group: root
user::rwx
user:st:r-x
group::r-x
mask::r-x
other::---
default:user::rwx
default:user:st:r-x
default:group::r-x
default:mask::r-x
default:other::---

[root@iZbp143t3oxhfc3ar7jey0Z www]# touch qaz
[root@iZbp143t3oxhfc3ar7jey0Z www]# ll
total 0
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 abc
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 bcd
-rw-r-----+ 1 root root 0 Mar 25 20:46 qaz
[root@iZbp143t3oxhfc3ar7jey0Z www]# su - st
[st@iZbp143t3oxhfc3ar7jey0Z ~]$ cd /www/
[st@iZbp143t3oxhfc3ar7jey0Z www]$ ll
total 0
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 abc
-rw-r-xr--+ 1 root root 0 Mar 25 20:41 bcd
-rw-r-----+ 1 root root 0 Mar 25 20:46 qaz
[st@iZbp143t3oxhfc3ar7jey0Z www]$ touch wer
touch: cannot touch ‘wer’: Permission denied
[st@iZbp143t3oxhfc3ar7jey0Z www]$ exit
logout
[root@iZbp143t3oxhfc3ar7jey0Z www]#

最大有效权限 mask

 它的权限是和user:st:r-x进行与操作,只有共同有的,才会有权限,一般默认mask权限都是rwx,与我们所设定的权限相与就是我们设定的权限。

删除 ACL 权限

[root@iZbp143t3oxhfc3ar7jey0Z www]# setfacl -x u:st /www/  #删除指定用户和用户组的 ACL 权限
[root@iZbp143t3oxhfc3ar7jey0Z www]# getfacl /www/
getfacl: Removing leading '/' from absolute path names
# file: www/
# owner: root
# group: root
user::rwx
group::r-x
mask::r-x
other::---
default:user::rwx
default:user:st:r-x
default:group::r-x
default:mask::r-x
default:other::---
 
[root@iZbp143t3oxhfc3ar7jey0Z www]# setfacl -b /www/  #会删除文件的所有的 ACL 权限
[root@iZbp143t3oxhfc3ar7jey0Z www]#

注:其实ACL当递归赋予权限的时候,就会有权限溢出的问题,因为目录要x权限,才能cd,这样里面的文件就有x权限,但是就有了可执行的权限了。

发布了446 篇原创文章 · 获赞 3 · 访问量 9486
展开阅读全文

没有更多推荐了,返回首页

©️2019 CSDN 皮肤主题: 大白 设计师: CSDN官方博客

分享到微信朋友圈

×

扫一扫,手机浏览