3A机制：
[帐号：account]：useradd,userdel,usermod,groupadd,groupdel,groupmod
[认证：authorization]：passwd，chage
[授权：authorzed]：下面要说的！！！
1.文件权限存在的意义
文件权限的存在是系统最底层安全设定方法之一，保证文件可以被可用的用户做相应操作。
2.文件权限的查看
命令
说明
ls -l file
查看文件权限
ls -ld dir
查看目录权限
ll
查看文件和目录所有信息(相当于ls –l file)
ls -li
查看文件和目录所有信息，可以输出id号
ls –LR dir
递归显示子目录
3. 文件属性查看详解
-|rw-rw-r--.| 1| kiosk| kiosk| 0| Nov 15 01:49| file|
1 2 3 4 5 6 7 8
1-7通称为用户的属性，叫做源数据(matadate)，源数据的每个数据类型用一个字节来表示，大小为1byte，文件名是一个字符，又3个字节，总共有7+4=11byte。
(1)文件类型
表示
说明
-
普通文本
d
目录
l
软链接(快捷方式)
s
套接字(socket)
b
块设备(block)
c
字符设备
套接字：到程序内部进行交流，需要对外开放一个接口，用户可以通过接口来访问内部的程序，这个接口叫套结字。比如数据库
块设备：存储系统的资源和文件的设备，叫块设备(比如U盘，虚拟硬盘)。
(2)文件权限
权限
说明
r
read
w
write
x
execute
-
没开
一个用户对一个文件的身份有：u(user)，g(group)，o(others)
rw-|rw-|r--
1 2 3
1：u(所有人)；2：g(所有组)；3：o(其他人)
(3)文件内容被系统记录的次数(硬链接)
对文件
文件内容被系统记录的次数(文件硬链接个数)
对目录
目录中文件属性的字节数(目录中子目录的个数)
对于文件来说：
软链接：多个节点号对应一个数据
硬链接：一个节点号对应多个数据
(4)用户名字：“root”(文件的所有人)
(5)用户组名字：“root”(文件的所有组)
(6)文件内容的大小
对文件：文件大小
对目录：目录中子文件元数据(matedata元数据可以理解为文件案的属性)大小加上文件本身的大小6，文件夹的时间戳不算
注意：默认会有两个隐藏目录(. 和 …)，元数据大小为6。
(7)文件最后一次被修改的时间
(8)文件名字
4. 文件所有人和所有组的修改
(1)文件所有人的修改
命令
功能
chown username file或dir
更改文件或者目录的所有人
chown user.group file或dir
更改文件或者目录的所有人和所有组
chown -R user.group dir
递归更改目录的用户和用户组
(2)文件所有组的修改
命令
说明
chgrp group file或dir
改变文件或者目录的所有人
chgrp -R group dir
递归改变目录的所有组
5. 改变文件的权限
(1)对权限的理解
r：
对文件：是否可以查看文件的内容，相当于cat file
对目录：是否可以查看目录中有什么子文件或者子目录，相当于ls dir
w：
对文件：是否可以改变文件里面记录的字符
对目录：是否可以对目录中子目录或者子文件的源数据进行更改
注意：是否可以删除目录中的文件，看的是目录是否有写的权限，与里面的文件无关。
x：
对文件：是否可以通过文件名称调用文件内记录的程序。
对目录：是否可以进入目录。
注意：给目录w权限必须给r和x权限，要不没用。文件的执行权限是不安全的。
(2)对权限的修改
只有超级用户才可以修改权限
a. 字符方式修改权限
#增加或减少文件或目录u(g或o)的r(w或x)权限
chmod u(g|o) -|+ file|dir
#指定文件或目录u(g或o)的权限为r(w或x)
chmod u(g|o)=r(w|x) file|dir
#使目录和文件的权限同时修改为相同的操作
chmod -R r|w|x dir
b.数字的方式修改权限
r=4，w=2，x=1，-=0
比如：rwx=7，rw-=6，—=0，-w-=4
上面的命令相当于：chmod u=rw，g+w，o+w file
6.文件和目录的默认权限
从系统存在角度来说，开放权力越大，系统存在意义越高
从系统安全角度来说，开放权力越少，系统安全性越高
所以系统设定新建文件或目录会去掉一些权限
在超级用户中默认的umask为022，普通用户为002，因此建立的目录权限为777-022=755(dir)，文件权限为：666-022=644(file)。
对于超级用户：
对于普通用户：
为了安全性，将umask设置为077(umask 077) ，则建立的目录为777-077=700，文件为666-077=600，但是这种修改之时暂时的，只对当前的shell生效，当退出当前shell以后，设置的值就会取消，还是之前默认的022。
永久生效：
编辑/etc/bashrc
vim /etc/bashrc
重启：
source /etc/bashrc
编辑/etc/profile:
vim /etc/profile
重启使生效：
source /etc/profile
注意:这两个配置文件必须都要修改，并且要修改一致，而且要重启才能生效。
7. 特殊权限
(1)sticky
sticky：粘制位，t权限 ，适用于开放的共享目录。
作用：之针对目录生效，当一个目录上又sticky权限时，在这个目录中文件只能被文件的所有者删除。
设定方式(这两种方式一样)：
chmod o+t dir
chmod 1xxx dir (xxx为原始权限)
目录没加t权限：
目录加上t权限以后：
(2)sgid
强制位，s权限
作用：
对文件：只针对于二进制可执行文件，当文件上有sgid时任何人执行此文件产生的进程都属于文件的组
对目录：当目录上有sgid权限时任何人在此目录中建立的文件都属于目录的所有组
设定方式：
chmod g+s file|dir
chmod 2xxx file|dir
针对目录：
注意：sgid不会影响目录中已经存在文件的所有组。
针对文件：
注意：只针对与二进制可执行文件
(3)suid
冒险位，任何用户执行标有suid的文件时用户身份都会变成root。
作用：只针对与二进制的可执行文件，当文件上有suid时，任何人执行这个文件产生的进程都属于文件的所有人。
设定方式：
chmod u+s file
chmod 4xxx file
应用：权力的下方和提升。
8.acl权限列表
(1)作用
acl(access control list)，让特定的用户对特定的文件拥有特定的权限
(2)acl列表查看
-rw-rwxr--+ 1 root root 0 Jul 2 15:45 file
^
表示acl开启
注意：当acl权限列表开启后，使用ls -l查看的文件权限将不准确，必须使用getfacl filename 查看文件权限。
getfacl file#查看acl开启的文件的权限
file： file#文件名称
owner： file #文件拥有者
group： root#文件拥有组
user：：rw-#文件拥有者权限
user：kiosk：rw#指定用户的权限
group::r--#组的权限
mask：：rw-#赋予用户的最大权限
other：：r--#其他人拥有的权限
(3)acl列表管理
#当acl开启后，查看文件权限
getfacl file
#设定username对file拥有rwx权限。0：什么都做不了。(m：modify)
setfacl -m u:username:rwx file
#设定group组成员对file拥有rwx权限
setfacl -m g:group:rwx file
#从acl列表中删除username
setfacl -x u：username file
#关闭file上的acl列表
setfacl -b file
(4)mask值
在权限列表中mask表示能生效的最大权力值，当开启acl后，再使用chmod减小文件的权限时，实际减小的是mask值，而不是特定的权限值。
如果要恢复mask值：
serfacl -m m:rwx file
如果要想恢复mask权限
(5)acl的默认权限设置
acl默认权限只针对目录设定。
##递归设置文件的acl权限。会将之前创建的文件添加acl权限，
##而新建的文件没有开启acl权限
setfacl -R -m u:tom:rwx westos
##在新建的文件或目录上添加acl权限，之前存在的文件是不会继承acl权限的
setfacl -m d:u:tom:rw westos
##关闭目录的默认权限
setfacl -k westos
针对已经存在的文件：
针对新建的文件继承acl’权限：
文件的目录有默认的default权限：
关闭default权限：
(6)acl权限列表排序
uerperm > acluser > aclgroup > groupperm > otherperm
9. chattr和lsattr命令
应用：该命令主要被用在一些只能看不能新建或删除的目录上，起到保护的作用。比如/bin
应用:使用与系统的审计。
所以：开放权力不一定使权力变大。
410
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
