linux-4. 权限管理(ACL,SetUID, SetGID, Sticky BIT, 文件系统属性chattr权限, 系统命令sudo权限)

最新推荐文章于 2024-02-23 20:15:17 发布
最新推荐文章于 2024-02-23 20:15:17 发布
阅读量269 收藏
点赞数
分类专栏： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34809033/article/details/103976194
版权

一、ACL权限简介与开启

  1. 简介
    看这样一个情境：一个老师创建了一个目录：/project,有rwx权限，这个文件属于tgroup组，将班级所有的学生加入到这个组，有rwx权限，其他人没有权限，现在来了一个视听的学生，需要有rx的权限，如何解决？
    对于这个问题，用所有者，所属组，其他人的身份不能解决这个问题，于是就出现了ACL权限。
    ACL用于解决身份不足的问题

  2. ACL权限开启

    # 1. 查看分区ACL权限是否开启
# dumpe2fs命令是查询指定分区详细文件系统信息的命令
# -h：仅显示超级块中信息，而不显示磁盘块组的详细信息
dumpe2fs -h /dev/sda1
# 查看Default mount options中分区是否支持acl权限

# 2. 临时开启分区ACL权限
# 重新挂载根分区，并挂载加入acl权限
mount -o remount,acl /

# 3. 永久开启分区ACL权限
# 编辑/etc/fstab,加入acl权限
vim /etc/fstab
/dev/sda1 	/ 	ext4	defaults,acl	 1	 1
# 重新挂载文件系统或重启动系统，使修改生效
mount -o remount /

二、查看与设定ACL权限

1. ACL权限

  1. 常用命令

    # 1. 查看ACL命令
# 查看acl权限
getfacl 文件名

# 2. 设定ACL权限的命令
setfacl 选项 文件名
# -m: 设定ACL权限
# -x：删除指定的ACL权限
# -b：删除所有的ACL权限
# -d：设定默认ACL权限
# -k：删除默认ACL权限
# -R：递归设定ACL权限

mkdir /project 
adduser px1
adduser px2
groupadd tgroup
gpasswd -a px1 tgroup
gpasswd -a px2 tgroup

chown root:tgroup /project
chmod 770 /project

adduser st
# 给用户设定权限是u,给组设定权限是g
# 给用户st赋予目录/project/的r-x权限
setfacl -m u:st:rx /project/

# 3. 给用户组设定ACL权限
groupadd tgroup2
setfacl -m g:tgroup2:rwx project/

# 4. 删除ACL权限
# 删除指定用户的ACL权限
setfacl -x u:用户名 文件或目录名
# 删除指定用户组的ACL权限
setfacl -x g:组名 文件或目录名
# 删除文件所有的ACL权限
setfacl -b 文件或目录名

  2. 最大有效权限与删除ACL权限

    # 1. 最大有效权限mask
# mask是用来指定最大有效权限的。如果我给用户赋予了ACL权限，是需要和mask的权限“相与”才能得到用户的真正权限
#	修改最大有效权限
setfacl -m m:rx 文件或目录名
# 设定mask权限为r-x。使用“m:权限”格式

  3. 默认的ACL权限和递归ACL权限

    # 1. 递归ACL权限
#	 递归父目录在设定ACL权限时，所有的子文件和子目录也会拥有相同的ACL权限
# -R：只能放在文件或目录名前
setfacl -m u:用户名:权限 -R 文件或目录名

# 2. 默认ACL权限
#	 默认ACL权限的作用是如果给父目录设定了默认ACL权限，那么父目录中所有新建的子文件都会继承父目录的ACL权限
setfacl -m d:u:用户名:权限 目录名

    在这里插入图片描述

三、文件特殊权限

3.1 SetUID

  • 只有可以执行的 二进制程序 才能设定SUID权限
  • 命令执行者对该程序拥有x权限
  • 命令执行者在执行该程序时获得该程序文件属主的身份
  • SetUID权限只在该程序执行过程中有效，也就是身份改变只在程序执行过程中有效

在这里插入图片描述

# 1. passwd命令拥有SetUID权限，所以普通用户可以修改自己的密码
# 修改密码时要向/etc/shadow文件中写入内容，但是查看/etc/shadow的文件属性时，是什么权限都没有的，
# 但passwd有了SetUID权限，可以对文件/etc/shadow文件进行写操作，所有普通用户可以修改自己的密码
ls -al /usr/bin/passwd

# 2. 设定SetUID的方法，以下两种均可
chmod 4755 文件名
chmod u+s 文件名

# 3. 取消SetUID的方法，以下两种均可
chmod 755 文件史
chmod u-s 文件名

# 4. 危险的SetUID
	- 关键目录应严格控制写权限。比如“/”,"/usr"等
	- 对系统中默认应该具有SetUID权限的文件作一列表，定时检查有没有这之外的文件被设置了SetUID权限

# 5. 正常的SetUID权限是小写的s标志，但有时候会出现S标志，S标志表示：设置有问题，SetUID权限不生效
	如给一个非二进制文件设置了SetUID权限，就会出现这种情况

在这里插入图片描述

3.2 SetGID

  1. SetGID针对文件的作用

  • 只有可以执行的 二进制程序 才能设定SGID权限

  • 命令执行者对该程序拥有x权限

  • 命令执行者在执行该程序时，组身份升级为该程序文件的属组

  • SetGID权限只在该程序执行过程中有效，也就是组身份改变只在程序执行过程中有效

    ls -al /usr/bin/locate
# /usr/bin/locate命令权限为-rwx--s--x 1 root slocate: 有SetGID权限
# 在执行命令/usr/bin/locate时，会去读文件/var/lib/mlocate/mlocate.db
ls -al /var/lib/mlocate/mlocate.db
# /var/lib/mlocate/mlocate.db文件属性为-rw-r----- root slocate, 普通的用户没有读权限
# 但是当执行命令/usr/bin/locate时，由于SetGID权限会使用用户获得slocate组的权限，
# 而slocate是有权限读取/var/lib/mlocate/mlocate.db文件
  1. SetGID针对目录的作用
  • 普通用户必须对此目录拥有r和x权限，才能进入此目录
  • 普通用户在此目录中的有效组会变成此目录的属组
  • 若普通用户对此目录拥有w权限时，新建的文件的默认属组是这个目录的属组
  1. SetGID设定与取消命令
    # 1. 设定SetGID
chmod 2755 文件名
chmod g+s 文件名

# 2. 取消SetGID
chmod 755 文件名
chmod g-s 文件名

3.3 Sticky BIT

  1. SBIT粘着位作用

    • 粘着位目前只对目录有效
    • 普通用户对此目录拥有w和x权限
    • 如果没有粘着位，因为普通用户拥有w权限，所以可以删除此目录下所有文件，包括其他用户建立的文件；
      如果赋予了粘着位，除了root可以删除所有文件，普通用户就算拥有w权限，也只能删除自己建立的文件，但是不能删除其他用户建立的文件。
    # 有SBIT的目录，经典的有/tmp目录
ls -ald /tmp/
# 显示drwxrwxrwt. 普通用户只能删除自己在/tmp/中建立的文件或目录，但不能删除其他用户建立的文件和目录

  2. SBIT设定与取消命令

    # SBIT只能由root赋予
# 1. 设置SBIT
chmod 1755 目录名
chmod o+t 目录名

# 2. 取消粘着位
chmod 777 目录名
chmod o-t 目录名

四、 文件系统属性chattr权限

# 1. chattr命令格式
chattr [+-=] [选项] 文件名或目录名
# 	+：增加权限
#	-：删除权限
#	=：等于某权限
# 选项：
	i: 如果对文件设置i属性，那么不允许对文件进行删除、改名、也不能添加和修改数据；
	   如果对目录设置i属性，那么只能修改目录下文件的数据，但不能新建和删除文件。
	a: 如果对文件设置a属性，那么只能在文件中增加数据，不能删除和修改数据；
	   如果对目录设置a属性，那么只能在目录中新建和修改文件，不能删除。
# 设置的权限对root也有效

# 2. 查看文件系统属性
lsattr 选项 文件名
# -a: 显示所有文件和目录
# -d: 若目标是目录，仅列出目录本身的属性，而不是子文件的

五、系统命令sudo权限

# 1. sudo权限
 	- root把本来只能超级用户执行的命令普通用户执行
	- sudo的操作对象是系统命令
# 2. sudo使用授权
 # 修改/etc/sudoers文件,以下两个命令都可以
 visudo
 vim /etc/sudoers
# root ALL=(ALL)		ALL
# 用户名	被管理主机的地址= (可使用的身份)	授权命令（绝对路径）
# %wheel	ALL=(ALL)		ALL
# %组名	被管理主机的地址= (可使用的身份)	授权命令（绝对路径）
# eg: 授权sc用户可以重启服务器
sc ALL= /sbin/shutdown -r now

# eg:用户lisa可以运行任何命令在CUNETS网段的所有主机上。假设 CUNETS = 128.138.0.0/255.255.0.0
lisa CUNETS = ALL 

# 3. 普通用户查看可用的sudo命令
sudo -l
px_cmd
关注
专栏目录
Linux基础知识与系统管理教学课件-pdf.rar
01-09
8.2.3 权限管理-文件特殊权限-Sticky BIT 8.3 权限管理-chattr权限 8.4 权限管理-sudo权限 9 文件系统管理 9.1 文件系统管理-回顾分区和文件系统 9.2.1 文件系统管理-文件系统常用命令-df、du、fsck、dumpe2fs ...
Linux学习--第八天--acl、SetUID、SetGID、chattr、lsattr、sudo
OneGoal的博客
10-31 441
acl权限文件只能有一个所属组 acl就是不管用户什么组了，直接针对某个文件给他特定权限。 acl需要所在分区文件系统的支持。df -h #查看分区 dumpe2fs -h /dev/sda3 #-h 只显示超级块中的信息，而不显示磁盘快组的详细信息。 #dump2fs命令查看分区详细文件系统信息
ACL 权限
qq_45206551的博客
04-28 2219
文章目录ACL 是什么ACL有什么用检查是否支持ACL如何设置ACLsetfaclgetfacl针对用户来设置权限针对用户组来设置权限子文件/目录继承父目录的权限更改 ACL 权限删除 ACL 权限备份和恢复 ACL 权限 ACL 是什么 ACL的全称是 Access Control List (访问控制列表) ，一个针对文件/目录的访问控制列表。它在UGO权限管理的基础上为文件系统提供一个额外的...
linux权限管理之ACL权限管理
qq_41566366的博客
02-04 2001
知识点： 查看某个目录权限 ： getfacl 目录名 。 目录权限分两大块，一块是该目录本身的权限，一块是default，新建子目录会继承default权限。如果没有设置默认权限，那么就不会有default权限 default只针对目录，文件不存在default权限，也不存在继承目录的default权限 仅修改某个目录权限：sudo setfacl -m u:用户:权限(如r/rx/rwx) 目录名 递归的修改/新增某个目录及其所有子目录权限：sudo setfacl -m u:用户:权限(如.
acl权限
m0_61060496的博客
09-10 763
1，为何要使用acl权限 我们已知的文件管理者有三种：属主，属组，其他。当这三种不满足我们所需要的权限时，我们应该考虑使用一种新的权限，就是acl权限 例：一个文件file.txt 属主：root 权限rwx 属组： as 权限rwx 其他：无权限 现在有一个用户user只能读和执行权限，没有修改权限，即user对文件file的权限为rx，我们不能把user加到属主或者属组里面，这时就可以使用acl权限。 2，查看acl权限 ...
linux-权限管理视频教程
12-03
08.2.1 权限管理-文件特殊权限-SetUID.mp4 08.2.2 权限管理-文件特殊权限-SetGID.mp4 08.2.3 权限管理-文件特殊权限-Sticky BIT.mp4 08.3 权限管理-chattr权限.mp4 08.4 权限管理-sudo权限.mp4
Linux基础课件文件权限设置chmod命令共9页.pdf
11-20
【标题】"Linux基础课件文件权限设置chmod命令"涵盖了Linux操作系统中的基本概念，特别是关于文件权限管理和`chmod`命令的使用。在Linux系统中，理解文件权限是至关重要的，因为它们控制着用户对文件和目录的操作...
linux三个特殊权限setuid、setgid和stick bit.docx
09-26
Linux 三个特殊权限 setuid、setgid 和 stick bit Linux 系统中除了我们熟知的读(r)、写(w)、执行(x)权限外，还有三个比较特殊的权限，分别为：setuid、setgid 和 stick bit（粘滞位）。这三个特殊权限在 Linux ...
权限管理-ACL权限-简介与开启
董坤的博客
06-19 3619
1、ACL权限简介 普通的基本权限：用户对文件拥有所有者所属组其他人这三个身份，每个身份都有读写执行。什么是ACL权限那？？？他有什么用那？？？ 举个通俗易懂的栗子： 有一个目录是/project，老师给学生们讲课用，这个时候老师和学生多这个目录都要有权限，老师是目录的所有者，学生是在目录的所属组里，学生都加入到tgroup组里面去，权限的话不能给75，因为5权限代表读和执行，如果没有写权限的话，代表这个用户不能上传，不能新建，不符合交学目的，应该都给77，这个目录不应该给其他班级的学院看到，所以其他人
学习笔记:ACL详解
weixin_33769207的博客
09-06 770
Linux权限非常的重要，正常情况下一个文件或目录有三种角色，分别为：目录或文件拥有者（User）、所属群组（Group）、其他用户（Other），每个角色对应：读、写、可执行（rwx）。这也是我们最常见的权限，#ls　-l所看到第一列内容。第一位是文件类型，如：d是目录、－是普通文件、l是链接文件、c是字符文件、b是块文件等。 剩下９位即是文件对应三种角色的权限。如下图：...
ACL权限
bjnihao的专栏
06-27 1134
1、什么是ACL权限ACL是Access Control List的缩写，主要的目的是在提供传统的owner,group,others的read,write,execute权限之外的局部权限设定。ACL可以针对单个用户，单个文件或目录来进行r,w,x的权限设定，特别适用于需要特殊权限的使用情况。ACL主要针对用户（user）、用户组（group）、以及掩码（mask）方面来控制权限。简单地来说，AC
41-16 Linux ACL访问权限控制详解
csdn_immortal的博客
01-03 349
在普通权限中，Linux用户对文件只有三种身份，就是属主、属组和其他人；每种用户身份拥有读（read）、写（write）和执行（execute）三种权限。但是在实际工作中，这三种身份实在是不够用，我们举个例子来看看。               &nbs...
Linux--ACL权限管理
最新发布
2201_75455485的博客
02-23 932
ACL（Access Control List，访问控制列表），它提供了比传统的UGO（用户、组、其他）权限更灵活的权限设置方式。
acl权限和设置方法
liuliuhelingdao的博客
10-20 1854
1 默认的只对新建的文件和目录会继承该acl权限,以前建立好的，没有这个功能，如果以前建立好的文件和目录要有该acl权限，得用递归acl权限。不过有个问题,在创建这条命令之后的目录和文件，都不具备该acl权限，如果想要以后创建的文件和目录具备该acl权限，需要默认的acl权限。2 递归的alc权限，只对以前创建好的文件和目录能有该acl权限，对于后来新建的没有，默认和递归的作用正好相反。默认acl权限的作用:父目录设定了默认acl权限,那么父目录新建的文件和目录，都会继承该acl权限。
ACL权限基本知识及操作
热门推荐
Aizwz的博客
04-25 1万+
ACL权限 ACL权限在什么情况下使用（个人理解）： 当要给一个用户与文件属主、属组、其他人权限都不相同的时候使用，也就是说，这个用户对于这个文件不属于三种身份的任何一种，是属于第四种身份，那么我们就需要使用ACL权限去给他赋予单独的权限。 设定ACL权限 命令：setfacl 选项 文件名 选项： -m 设定ACL权限。 -x 删除指定的ACL权限。 -b 删除所有的ACL权限。 -...
Linux权限管理深度解析：ACL、特殊权限与sudo教程
- **08.3 权限管理-chattr权限**: chattr是Linux中用于改变文件属性的一项命令，这部分视频可能涵盖了如何使用chattr来更改文件的不可修改性、固存等特性，以增强数据安全和保护。 4. **sudo权限**： - **08.4 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值