作为一个系统管理 ，我们的首要任务将是保护和未经授权的访问安全的数据。 我们都知道我们设置使用一些像CHMOD，CHOWN，chgrp命令 ......等有用的Linux命令然而，这些缺省权限设置有一些限制，有时可能不按我们的需要的工作权限。 例如，我们无法为同一目录或文件上的不同用户设置不同的权限集。 因此， 访问控制列表 (ACL)进行了实施。
Linux访问控制列表
比方说，你有三个用户，“howtoing1'，'howtoing2'和'howtoing3”。 每一个有共同组说' 的ACL'。 用户howtoing1'想，只有“howtoing2”用户可以读取和'howtoing1'并没有其他人拥有的访问文件应该对任何访问。
ACL S( 访问控制列表 )允许我们做同样的伎俩。 这些ACL允许我们授予权限的用户 ， 组和不属于在用户的组列表中的任何用户的任一组。
注 ：根据红帽产品文档，它提供ACL支持ext3文件系统和NFS导出的文件系统。
如何检查Linux系统中的ACL支持
在前进之前，您应该支持当前内核和已安装文件系统上的ACL。
1.检查内核ACL支持
运行以下命令来检查ACL支持的文件系统和POSIX_ACL = Y选项(如果是N，而不是Y，那么就意味着内核不支持ACL和需要重新编译)。[root@linux ~]# grep -i acl /boot/config*
CONFIG_EXT4_FS_POSIX_ACL=y
CONFIG_REISERFS_FS_POSIX_ACL=y
CONFIG_JFS_POSIX_ACL=y
CONFIG_XFS_POSIX_ACL=y
CONFIG_BTRFS_FS_POSIX_ACL=y
CONFIG_FS_POSIX_ACL=y
CONFIG_GENERIC_ACL=y
CONFIG_TMPFS_POSIX_ACL=y
CONFIG_NFS_V3_ACL=y
CONFIG_NFSD_V2_ACL=y
CONFIG_NFSD_V3_ACL=y
CONFIG_NFS_ACL_SUPPORT=m
CONFIG_CIFS_ACL=y
CONFIG_9P_FS_POSIX_ACL=y
2.检查所需的包
在开始使用ACL之前，请确保已安装所需的软件包。 下面是需要使用yum或apt-get的安装所需的软件包。[root@linux ~]# yum install nfs4-acl-tools acl libacl[on RedHat based systems][howtoing@linux ~]$ sudo apt-get install nfs4-acl-tools acl[on Debian based systems]
3.检查安装的文件系统的ACL支持
现在，检查已装入的文件系统是否已使用ACL选项装入。 我们可以用'坐骑 '命令，如下图所示检查一样。[root@linux ~]# mount | grep -i root
/dev/mapper/fedora-root on / type ext4 (rw,relatime,data=ordered)
但在我们的情况下，它不显示默认acl。 所以，接下来我们有选项使用acl选项重新挂载已挂载的分区。 但是，在向前移动之前，我们有另一个选项，以确保该分区是否与acl选项装入，因为对于最近的系统，它可能与默认装入选项集成。[root@linux ~]# tune2fs -l /dev/mapper/fedora-root | grep acl
Default mount options: user_xattr acl
在上面的输出中，您可以看到默认安装选项已经支持acl。 另一个选项是重新安装分区，如下所示。[root@linux ~]# mount -o remount,acl /
接下来，将以下条目添加到“/ etc / fstab”文件以使其成为永久性。/dev/mapper/fedora-root /ext4 defaults,acl 1 1
再次，重新安装分区。[root@linux ~]# mount -o remount /
4.对于NFS服务器
在NFS服务器上，如果NSF服务器导出的文件系统支持ACL，并且ACL可以被NFS客户端读取，则客户端系统将使用ACL。
有关NFS共享禁用的ACL，你必须在NFS服务器上“ 的/ etc / exportfs'文件中添加选项”no_acl“。 要禁用它NSF客户端再次使用时安装时间“no_acl”选项。
如何在Linux系统中实现ACL支持
有两种类型的ACL：访问的ACL：访问的ACL用于授予的任何文件或目录的权限。
默认ACL：默认的ACL用于授予/只特定目录设置访问控制列表。
访问ACL和默认ACL之间的区别：默认ACL仅可在目录级别使用。
在该目录中创建的任何子目录或文件将从其父目录继承ACL。 另一方面，文件继承默认ACL作为其访问ACL。
我们利用“-d”的设置默认的ACL和默认ACL是选配。
设置默认ACL之前
要确定一个特定的文件或目录的默认ACL，使用'getfacl的说明书 “命令。 在下面的例子中， 显示getfacl用于获取一个文件夹“ 音乐 ”的默认ACL。[root@linux ~]# getfacl Music/
# file: Music/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:group::r-x
default:other::rw-
设置默认ACL后
要设置默认的ACL特定文件或目录，使用'setfacl的 '命令。 在下面的例子中，setfacl命令将设置一个新的ACL上的文件夹“ 音乐”( 读取和执行 )。[root@linux ~]# setfacl -m d:o:rx Music/
[root@linux ~]# getfacl Music/
# file: Music/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:group::r-x
default:other::r-x
如何设置新的ACL
设置或修改的任何文件或目录使用“setfacl的'命令。 例如，给读取和写入权限用户howtoing1“。# setfacl -m u:howtoing1:rw /howtoing1/example
如何查看ACL
对任何文件或目录的访问控制列表查看使用“getfacl的说明书 ”命令。 例如，要查看下面的命令“/ howtoing1 /例如 ”使用访问控制列表。# getfacl /howtoing1/example
# file: howtoing1/example/
# owner: howtoing1
# group: howtoing1
user::rwx
user:howtoing1:rwx
user:howtoing2:r--
group::rwx
mask::rwx
other::---
如何删除ACL
对于从任意文件/目录去除ACL时，我们用x和b的选择，如下所示。# setfacl -x ACL file/directory # remove only specified ACL from file/directory.
# setfacl -b file/directory #removing all ACL from file/direcoty
让我们在下面的场景中实现ACL。
两个用户(howtoing1和howtoing2)，名为“ACL”双方有共同的辅助组。 我们将创建由“howtoing1”拥有一个目录，并提供读取 ，并在该目录执行权限给用户howtoing2“。
第1步：创建两个用户，并从两个删除密码[root@linux ~]# for user in howtoing1 howtoing2
> do
> useradd $user
> passwd -d $user
> done
Removing password for user howtoing1.
passwd: Success
Removing password for user howtoing2.
passwd: Success
第2步：创建一个组和用户的二级集团。[root@linux ~]# groupadd acl
[root@linux ~]# usermod -G acl howtoing1
[root@linux ~]# usermod -G acl howtoing2
第3步：创建目录/ howtoing并更改所有权howtoing1。[root@linux ~]# mkdir /howtoing1
[root@linux ~]# chown howtoing1 /howtoing1/[root@linux ~]# ls -ld /howtoing1/
drwxr-xr-x 2 howtoing1 root 4096 Apr 17 14:46 /howtoing1/[root@linux ~]# getfacl /howtoing1
getfacl: Removing leading '/' from absolute path names
# file: howtoing1
# owner: howtoing1
# group: root
user::rwx
group::r-x
other::r-x
第4步：登录并howtoing1并创建/ howtoing文件夹的目录。[howtoing@linux ~]$ su - howtoing1
Last login: Thu Apr 17 14:49:16 IST 2014 on pts/4[howtoing1@linux ~]$ cd /howtoing1/
[howtoing1@linux howtoing1]$ mkdir example[howtoing1@linux howtoing1]$ ll
total 4
drwxrwxr-x 2 howtoing1 howtoing1 4096 Apr 17 14:50 example[howtoing1@linux howtoing1]$ whoami
howtoing1
第5步：使用“setfacl的 '，让'howtoing1”将所有的rwx权限，“howtoing2'只会对” 示例 “文件夹读取权限，其他就没有权限现在设置访问控制列表。$ setfacl -m u:howtoing1:rwx example/
$ setfacl -m u:howtoing2:r-- example/
$ setfacl -m other:--- example/
$ getfacl example/
# file: example
# owner: howtoing1
# group: howtoing1
user::rwx
user:howtoing1:rwx
user:howtoing2:r--
group::r-x
mask::rwx
other::---
第6步：现在与其他用户即“howtoing2'上的另一端和目录更改为'/ howtoing1”登录。 现在尝试查看使用'ls'的命令的内容，然后尝试改变目录，看看下面的区别。[howtoing@linux ~]$ su - howtoing2
Last login: Thu Apr 17 15:03:31 IST 2014 on pts/5[howtoing2@linux ~]$ cd /howtoing1/
[howtoing2@linux howtoing1]$ ls -lR example/
example/:
total 0[howtoing2@linux howtoing1]$ cd example/
-bash: cd: example/: Permission denied[howtoing2@linux howtoing1]$ getfacl example/
# file: example
# owner: howtoing1
# group: howtoing1
user::rwx
user:howtoing1:rwx
user:howtoing2:r--
group::rwx
mask::rwx
other::---
第7步：现在给“ 执行 ”权限在“ 示例 ”文件夹“howtoing2”，然后用“CD”命令来查看效果。 现在，“howtoing2'有权限查看和更改目录，但不具备写任何东西的权限。[howtoing1@linux howtoing1]$ setfacl -m u:howtoing2:r-x example/
[howtoing1@linux howtoing1]$ getfacl example/
# file: example
# owner: howtoing1
# group: howtoing1
user::rwx
user:howtoing1:rwx
user:howtoing2:r-x
group::rwx
mask::rwx
other::---[howtoing@linux ~]$ su - howtoing2
Last login: Thu Apr 17 15:09:49 IST 2014 on pts/5[howtoing2@linux ~]$ cd /howtoing1/
[howtoing2@linux howtoing1]$ cd example/
[howtoing2@linux example]$ getfacl .[howtoing2@linux example]$ mkdir test
mkdir: cannot create directory ‘test’: Permission denied[howtoing2@linux example]$ touch test
touch: cannot touch ‘test’: Permission denied
注 ：实施ACL之后，您将看到“ls -l命令”下面输出额外的“+”号。[root@linux howtoing1]# ll
total 4
drwxrwx---+ 2 howtoing1 howtoing1 4096 Apr 17 17:01 example
参考链接
282
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
