Linux基础_ACL权限、mask值

acl权限在什么情况下使用：
当要给一个用户与文件的属主、属组、其他人权限都不同的时候使用。也就是说，这个用户对应于这个文件不属于三个身份中的任何一种，是属于第四种身份，那么我们就需要使用acl权限去给他赋予单独的权限。

facl ——文件的访问控制列表

使用facl:

 getfacl 文件名			//查看文件的facl权限
 setfacl -m u:用户名:权限 文件名			//修改当前文件的acl权限
 ll  文件名
 -rwxrwxrw-+ 1 jack root 86 Jun 13 15:53  文件名     //在低11个字符处若有“+”,则说名文件有acl权限。
 setfacl -x u:jack 文件名         //删除jack对文件的属主权
 setfacl -b 文件名     //移除所有用户、组、其他的权限

setfacl其他用法：

用法: setfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
-m,       --modify-acl 更改文件的访问控制列表
-M,       --modify-file=file 从文件读取访问控制列表条目更改
-x,       --remove=acl 根据文件中访问控制列表移除条目
-X,       --remove-file=file 从文件读取访问控制列表条目并删除
-b,       --remove-all 删除所有扩展访问控制列表条目
-k,       --remove-default 移除默认访问控制列表
          --set=acl 设定替换当前的文件访问控制列表
          --set-file=file 从文件中读取访问控制列表条目设定
          --mask 重新计算有效权限掩码
-n,       --no-mask 不重新计算有效权限掩码
-d,       --default 应用到默认访问控制列表的操作
-R,       --recursive 递归操作子目录
-L,       --logical 依照系统逻辑，跟随符号链接
-P,       --physical 依照自然逻辑，不跟随符号链接
          --restore=file 恢复访问控制列表，和“getfacl -R”作用相反
          --test 测试模式，并不真正修改访问控制列表属性
-v,       --version           显示版本并退出
-h,       --help              显示本帮助信息

实例:

[root@erhou ~]# getfacl file1
# file: file1
# owner: jack
# group: root
user::rwx
group::rwx
other::rw-

[root@erhou ~]# setfacl -m u:tom:rx file1

[root@erhou ~]# ll file1
-rwxrwxrw-+ 1 jack root 86 Jun 13 15:53 file1

[root@erhou ~]# getfacl file1
# file: file1
# owner: jack
# group: root
user::rwx
user:tom:r-x
group::rwx
mask::rwx
other::rw-

[root@erhou ~]# setfacl -x u:tom file1

[root@erhou ~]# ll file1
-rwxrwxrw-+ 1 jack root 86 Jun 13 15:53 file1

[root@erhou ~]# getfacl file1
# file: file1
# owner: jack
# group: root
user::rwx
group::rwx
mask::rwx
other::rw-

[root@erhou ~]# setfacl -b file1

[root@erhou ~]# ll file1
-rwxrwxrw- 1 jack root 86 Jun 13 15:53 file1

[root@erhou ~]# getfacl file1
# file: file1
# owner: jack
# group: root
user::rwx
group::rwx
other::rw-

mask 权限，指的是用户或群组能拥有的最大 ACL 权限，也就是说，给用户或群组设定的 ACL 权限不能超过 mask 规定的权限范围，超出部分做无效处理。

举个例子，如果像上面命令那样，给 tom用户赋予访问 file1的 r-x 权限，此时并不能说明 tom 用户就拥有了对该文件的读和访问权限，还需要和 mask 权限对比，r-x 确实是在 rwx 范围内，这时才能说 tom用户拥有 r-x 权限。

需要注意的是，这里将权限进行对比的过程，实则是将两权限做“按位相与”运算，最终得出的值，即为 tom用户有效的 ACL 权限。这里以读（r）权限为例，做相与操作的结果如表 1 所示：

读权限做相与操作

A 	B 	and
r 	r 	r
r 	- 	-
- 	r 	-
- 	- 	-

但是，如果把 mask 权限改为 r–，再和 tom 用户的权限 r-x 比对（r-- 和 r-w 做与运算），由于 r-w 超出 r-- 的权限范围，因此 tom 用户最终只有 r 权限，手动赋予的 w 权限无效。这就是在设定 ACL 权限时 mask 权限的作用。

大家可以这样理解 mask 权限的功能，它将用户或群组所设定的 ACL 权限限制在 mask 规定的范围内，超出部分直接失效。

mask 权限可以使用 setfacl 命令手动更改，比如，更改 file1文件 mask 权限值为 r-x，可执行如下命令：

[root@ergou ~]# setfacl -m m:rx file1
#设定mask权限为r-x，使用"m:权限"格式

[root@ergou ~]# getfacl file1
#file：file1
#owner: jack
#group: root
user::rwx
group::rwx
mask::r-x  <--mask权限变为r-x
other::---

不过，我们一般不更改 mask 权限，只要赋予 mask 最大权限（也就是 rwx），则给用户或群组设定的 ACL 权限本身就是有效的。