使用ACL控制对文件的访问

使用ACL控制对文件的访问

解释文件ACL

什么是ACL

• ACL允许向文件分配细化权限。除标准的文件所有者、组所有者和其他文件权限之外， 还可向指定用户或指定组，以及 UID 或 GID 确定的用户和组授予权限。这些权限均应 用相同的权限标志：r -读取、w -写入、x-执行
• 文件所有者可以在单个文件或目录上设置 ACL。新文件和子目录可以自动从父目录默 认 ACL (若已设置）中继承 ACL 设置。与常规文件的访问规则相似，父目录层次结构 需要至少设置其他用户执行权限 ，以便启用指定用户和指定组的访问权限

ACL 的支持

• ACL需要文件系统的支持，XFS/ext3/ext4 等文件系统均内置了对 ACL 的支持，而在 较早版本中，应确认是否启用了对 ACL 的支持

使用 ls 命令查看 ACL 权限

• Is -l命令仅输出最少的ACL设置详细信息：

• [student@server0 ~]$ ll roster.txt

• -rw-rwxr–+ 1 student student 48 Dec 5 00:47 roster.txt

• 如果由10个字符组成的权限字符串的末尾是“+”，即表示此文件有相关联的 ACL 设 置。对用户 、组和其他的“rwx”标志解释如下：

• 用户：显示用户 ACL 设置，其与标准的用户文件设置相同

• 组：显示当前的 ACL 掩码设置，而不是组所有者设置

• 其他：显示其他 ACL 设置，其与标准的其他文件设置相同

使用 getfacl 命令查看 ACL 权限

• 查看文件 ACL
  • 要显示文件上的ACL设置，使用 getfacl file
  • 示例：使用 getfacl 命令查看 /run/log/journal 的子目录中的文件

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YHpd8wvQ-1627779386241)(C:\Users\Lenovo\Desktop\学习\笔记\Linux\查看目录ACL.png)]

ACL权限优先级

• 在决定一个进程（正在运行的程序）能否访问文件时，将按以下规则匹配 ACL 权限：
  • ① 如果正在以文件所有者身份运行进程，则应用文件的用户ACL权限
  • ② 如果正在以指定用户 ACL 条目中列出的用户身份运行进程，则应用指定用户 ACL 权 限（只要掩码允许）
  • ③ 如果正在以与文件的组所有者相匹配的组身份运行进程，或者以具有显式指定组 ACL 条目的组身份运行进程，则应用相匹配的ACL权限（只要掩码允许）
  • ④ 否则，将应用文件的其他 ACL 权限

使用ACL保护文件安全

setfac

• 使用 setfacl 添加、修改或删除文件和目录的 ACL 设置
• ACL采用普通的权限文件系统表示法：（不允许使用数字加权法）
  • “r”表示读取权限
  • “w”表示写入权限
  • “x”表示执行权限
  • “-”（短划线）表示缺少相关权限
• 在以递归方式设置 ACL 时，大写字母“X”可用于表示：如果文件还没有相关的执行 权限，则只应设置目录（而非常规文件）的执行权限。这一行为与 chmod 相同

#添加 user1 对 file1 具有 rw- 的 ACL 权限
setfacl -m u:user1:rw- file1
# 使用 -m 或 -M 选项设置 ACL。设置时，如果 name 留空，则它适用于文件所有者，否则，name 可以是用户名或 UID 值


#修改 g1 对 file1 具有 rw- 的 ACL 权限
setfacl -m g:g1:rw- file1

#通过 ACL，修改其他用户对 file1 不具有权限
setfacl -m o::- file1

#修改文件所有者和组 g2 对 file1 分别具有 rwx 和 rw- 的 ACL 权限
setfacl -m u::rwx,g:g2:rw- file1
#通过同一命令添加多个条目，并以逗号分隔

#修改 file1 的 ACL 掩码为 r--
setfacl -m m::r-- file1


#将 file2 的 ACL 权限设置与 file1 一致
getfacl file1 | setfacl --set-file=- file2
#--set-file 接受文件或 stdin 中的输入，短划线作为占位符指定了 stdin 的使用。这里中，设置 file1 的 ACL 查看结果作为 file2 的ACL设置的输入

#设置目录 dir1 的文件所有者 ACL 权限为 rw-，并递归到子文件和子目录中
setfacl -R -m u::rw- dir1
#使用 -R 选项实现递归，涉及执行权限时注意使用 X，并且区分递归和继承

#删除 user1 对 file1 的 ACL 权限
setfacl -x u:user1 file1
#使用 -x 选项删除某条 ACL 权限，支持使用逗号分隔多个条目

#删除 file1 的所有 ACL 权限
setfacl -b file1
#使用 -x 选项删除指定用户和组的 ACL 权限以及掩码也可以实现同样效果

控制默认ACL文件权限

• 目录可以设置默认ACL，这些ACL会由所有新文件和新子目录自动继承。可以针对各个 标准 ACL 设置来设置默认 ACL 权限，其中包括默认掩码。
• 注意：目录本身还需要有 ACL 权限进行访问权限控制，默认ACL不会对当前目录生效，仅 提供权限继承的效果

#添加默认ACL
setfacl -m d:u:<name>:<rwx> <directory/file>


#删除默认ACL
setfacl -x d:u:<name> <directory/file>

添加默认ACL
setfacl -m d:u:: <directory/file>

#删除默认ACL
setfacl -x d:u: <directory/file>