复习之linux系统中的权限管理

1.权限的查看及读取

（1）权限的查看

# ls  -l   file  : 查看文件的权限

# ls  -ld  dir :查看目录权限

 （2）权限的读取

文件的属性叫做文件的元数据。

元数据（Metadata），又称中介数据、中继数据，为描述数据的数据（data about data），主要是描述数据属性（property）的信息，用来支持如指示存储位置、历史数据、资源查找、文件记录等功能。"一种元数据用1个byte来记录内容"，则以下文件元数据共占用8个字节（byte)。

# 文件权限信息

 -  |  rw-rw-r--   |   .     |   1   |   westos  |    westos   |   0    |    May  29  10:22  |    westosfile

[1]        [2]            [3]      [4]         [5]                [6]            [7]                   [8]                        [9]

# 对于每一位的详细解释

[1] : 文件类型

#  -  ： 普通文件  # d ：目录   # l ：软连接 # b : 快设备 # c :字符设备 # s : socket套接字 # p 管道 |

[2] : 用户权限

# rw- : 读，写，执行

[3] : 系统的selinux开启，安全上下文

#  ls  -Z  file  ： 查看安全上下文

[4] : #  对于目录：目录中子目录的个数

 #对于文件： :文件内容被系统记录的次数(硬链接个数)

每一个文件都有一个硬链接数，它表示有多少个文件指向它。当一个文件创建时，它的硬链接数被设置为1。当一个新的硬链接被创建时，它的硬链接数就会增加1。

#  ln  file  file1 :  创建硬链接 （ps: 硬连接建立的文件与原文件是同一个文件，节点号相同）

[5] : 文件拥有者

[6] : 文件拥有组

[7] :  # 对于文件 ： 文件内容大小

 # 对于目录：目录中子文件/子目录的元数据（属性）大小

 [8 ]# 对于目录 ： 目录中子目录/子文件属性修改的时间，文件内容修改也改变。

  # 对于文件： 文件内容被修改的时间（文件属性修改时间不变）

[9] : 文件名

2.文件中用户和组的修改

# 实验环境设置：在/mnt下新建文件并建立监控

 （1）修改文件的所有人所有组

# chown  用户名  文件名：修改文件的所有人

# chgrp 组名 文件名 ：修改文件的所有组

 #  chown  用户名 . 组名  文件名 ：同时修改文件的所有人和所有组

# chown  用户名 ：组名  文件名 ：同时修改文件的所有人和所有组

 （2）修改目录的所有人所有组

# chown   用户名  目录 ：修改目录的所有人

# chgrp  组名  目录 ：修改目录的所有组

# chown  用户名 . 组名  目录 ：同时修改目录的所有人和所有组

# chown  用户名  ：组名  目录 ：同时修改目录的所有人和所有组

ps: 注意以上只要修改了目录的所有人所有组，并未修改目录下文件的所有人所人组

# chown   -R  用户名  目录 ：修改目录及目录下文件的所有人

# chgrp  -R  组名  目录 ：修改目录及目录下文件的所有组

# chown   -R   用户名 . 组名  目录 ：同时修改目录及目录下文件的所有人和所有组

# chown  -R   用户名  ：组名  目录 ：同时修改目录及目录下文件的所有人和所有组

 3.普通权限的类型

（1）用户对文件的身份

# u : 文件的拥有者

#  g : 文件的拥有组

# o :  既不是拥有者也不是拥有组成员的其他用户的通称

（2）权限类型

# r  ：可读                  # 对于文件:可以读取文件内容   #对于目录:可以ls列出目录中的文件

# w  : 可写                   # 对于文件：可以更改文件内容   #对于目录 ： 可以在目录中新建或删除文件

# x : 可执行       # 对于文件 ：可以用文件名称调用文件内记录的程序 #对于目录 ：可以进入目录中

 4. 文件权限管理

# chmod   设定文件权限

（1）复制文件权限

# chmod --reference=/mnt/westosdir    /mnt/westosfile1    复制/mnt/westosdir目录的权限到文件/mnt/westosfile1上

#chmod -R --reference=/mnt/westosfile1 /mnt/westosdir  复制/mnt/westosfile1文件的权限到/mnt/westosdir及#目录中的子文件上 -R 代表第归操作

 （2）利用字符设定权限

# chmod    <  a  |  u  |  g  |  o  ><  +  |  -  |  =  ><  r  |  w  |  x  >    file     ： 利用字符设定权限

实验：

#  chmod  a+x   /mnt/westosfile2  :   所有权限增加可执行权限

# chmod   ug-r    /mnt/westosfile1   ： 所有人所有组减去可读权限

#  chmod  u-w,g+wx,o=rwx   /mnt/westosfile3

 (3)利用数字设定权限

权限转换为八进制数字为：

- - - ： 000

- - x : 001 = 1

- w - : 010 = 2

- w x : 011 = 3

r - - : 100 = 4

r - x : 101 = 5

r w - : 110 = 6

r w x : 111 = 7

5.系统默认权限设定

当建立文件或目录时，系统默认分配的权限并不是777

# umask表示系统保留权力

文件默认权限 = 777-umask-111
目录默认权限 = 777-umask

# umask    查看保留权力

 系统本身存在的意义共享资源
#从安全角度讲系统共享的资源越少,开放的权力越小系统安全性越高
#既要保证系统安全,又要系统创造价值,于是把应该开放的权力默认开放，把不安全的权力默认保留

（1）临时设定系统保留权力

# umask  权限 ： 临时设定系统预留权力

ps:后三位是设定的权限，第一位是特殊权限位，umask值越大系统安全性越高

 重新打开一个shell，查看保留权力发现还是022，因为刚刚只是临时设定！

 （2）永久设定系统保留权力

要想永久修改系统保留权力，需要编辑两个文件：/etc/bashrc  （shell系统配置文件 ）和 /etc/profile（系统环境配置文件）且 立即生效！

#vim /etc/bashrc  （75行左右）

 #  vim /etc/profile  （60行左右）

 两个文件编辑完成后，查看系统保留权力，发现还是没有变化！

此时利用source 使文件立即生效

#  source /etc/bashrc
#  source /etc/profile

此时系统保留权力已立即更改！

6.特殊权限

（1）粘滞位（stickybit）----  SBIT（o的x位置上使用一个t）

粘滞位（stickybit），又称黏着位，是Linux文件系统权限的一个特殊权限。默认情况下，如果一个目录o上有w和x权限，则任何人可以在此目录中建立与删除文件。一旦目录上设置了冒险位，则表示在此目录中，只有文件的拥有者、目录的拥有者与系统管理员可以删除文件。其他用户则不能。

实验如下：

root用户建立一个新目录，修改目录权限为777。

两个普通用户（westos , lee)进入该目录建立文件，

用户lee可以删除westos建立的文件，这显然不符合常理！

 因此必须设置粘滞位，只有目录内文件的所有者或者root才可以删除或移动文件

设置粘滞位的方法：

# chmod  o+t  /mnt/pub/ 

# chmod  1XXX /mnt/pub ：XXX为目录原权限

ps: chmod  o-t  /mnt/pub:恢复原权限

注意：当目录没有执行权限时，设置粘滞位，最后一位会变成T。

此时无法进入目录。

（2）强制位（set gid) --  SGID（在g的x位置上使用一个s）

针对目录：目录中新建的文件自动归属到目录的所属组中，默认情况下，用户建立的文件夹属于用户当前所在的组，但是设置了SGID后，表示在此目录中，任何人建立的文件，都会属于目录所属的组，但是用户还是属于创建的用户。

设定方法：

# chmod  2XXX /mnt/pub

# chmod  g+s  /mnt/pub

ps : chmod  g-s  /mnt/oub  ： 恢复原权限

针对二进制的可执行文件(c程序)：当运行二进制可执行文件时都是用文件拥有者身份运行,和执行用户无关

实验:

# watch -n 1 "ps ax -o comm,user,group | grep cat "watch : 设置监控cat程序

/bin/cat 程序本身所有组是root用户，但当westos用户执行/bin/cat时，进程显示所有组是westos.

#当运行二进制可执行文件时都是用执行用户身份运行

 设置强制位，可以保证#当运行二进制可执行文件时都是用文件拥有者身份运行,和执行用户无关

 （3）冒险位（set uid) --- SUID（在u的x位置上使用一个s）

Suid是让执行者临时拥有属主的权限，仅对二进制文件（命令）生效。

对文件作用：
默认情况下，用户执行一个指令，会以该用户的身份来运行进程。当一个文件设置了SUID后，所有用户执行这个文件时都是以这个文件的所有者的权限来执行。即可以让对此文件没有执行权限的用户执行此文件。

设定方法：

# chmod  u+s  /bin/cat

# chmod 4XXX /bin/cat ：XXX是文件的原权限

ps: chmod  u-s /bin/cat : 恢复原权限

 7.ACL访问控制列表

访问控制列表（Access Control Lists，ACL）可以对文件的权限进行细分。

（1）ACL的基本使用方法

1） ACL列表的开启与关闭

# setfacl   -m   o::r   /mnt/pub/ （随意输入一条acl设定命令）

权限后出现“ +  ”号表示acl列表成功开启！

 # setfacl  -b  /mnt/pub  :  关闭acl列表

 2）ACL列表权限读取
# getfacl  目录/文件：当ACL列表权限开启后，可以通过此命令显示文件的列表权限。

显示内容分析：

# file: mnt/pub   ：文件名
# owner: root     ：所有人
# group: root      :  所有组
# flags: -s-          ：特殊权限（这里开启了强制位）
user::r--               ：所有人的权限

user:lee:rw-        ： 特殊指定用户权限
group::rw-           ：所有组的权限

group:westos:---  ：特殊指定组权限

mask::rw-            ： 能够赋予特殊用户和特殊用户组的最大权限阀值
other::---              ：其他的权限

3）ACL权限设定

# setfacl -m  u:lee:rx   /mnt/pub/  ：指定用户lee的权限为rx

# setfacl   -m    g:lee:rx    /mnt/pub/ ：特殊指定组lee的权限为rx

 

# setfacl -m   u::r    /mnt/pub/  ：设定文件所有人的权限

 

# setfacl -m g::rw /mnt/pub/  : 设定文件所有组的权限

 

# setfacl   -m   o::0   /mnt/pub/ ：设定其他人的权限

 

# setfacl -x   u:lee   /mnt/pub/  ： 删除lee用户

setfacl  -x    g:westos    /mnt/pub/  ：删除westos这个组

 

 Ps: 注意只能删除特殊指定的用户或组，不能删除所有人，所有组！

（2）ACL的优先级匹配

拥有者 > 特殊指定用户 > 权限多的组 >权限少的组 > 其他

实验：

1）拥有者 > 特殊指定用户

在/mnt下建立westosfile文件-->所有者改为westos---->acl设定特殊用户westos权限为0------>

查看acl列表------>用户westos在westosfile文件里写东西------> 成功写入------>拥有者权限>特殊指定用户

2）特殊指定用户>特殊指定组

特殊指定用户lee权限改为rw------>设定lee用户所属的wheel组的权限为0-----> 用户lee在westosfile文件里写东西------> 写入成功------>特殊指定用户>特殊指定组

3）权限多的组>权限少的组

建立用户linux,设置附加组为westos -----> 设定所有组权限为0------>设定westos为特殊指定组，权限为rw------->用户linux在文件写东西----->写入成功！

设定所有组权限为rw------>设定westos为特殊指定组，权限为0------->用户linux在文件写东西----->写入成功！

因此总结：权限多的组>权限少的组

(3)Mask权限

mask是能够赋予指定用户或组权限的最大阀值，它将用户或群组所设定的 ACL 权限限制在 mask 规定的范围内，超出部分直接失效。

设定mask方法：

# setfacl   -m   m:权限  文件

 (4)默认权限列表

设定用户lee对目录/mnt/westodir的权限为rwx

1)针对已存在的文件生效

#  setfacl   -m      u:lee:rwx       /mnt/westosdir/ : 只对于/mnt/westosdir目录本身生效

#  setfacl    -Rm   u:lee:rwx   /mnt/westosdir/ ：对于/mnt/westosdir目录和目录中已经存在的内容生效

 

此时在目录中新建westosfile4 ,设定的权限不会生效！因此，此命令只针对已存在的文件！

 

 2）针对新建文件生效

#  setfacl   -m  d:u:lee:rwx   /mnt/westosdir/  ：针对新建的文件生效，已存在的文件没用！

 8.attr权限

attr权限限制所有用户，包括超级用户！

# lsattr   -d   dir/  ：查看目录本身的attr权限

# chattr +a dir/ ：设定attr权限，a表示只能添加不能删除

ps: chattr  -a  dir :关闭该权限

# chattr +i  dir/ ：设定attr权限，i 表示不能做任何修改

ps: chattr   -i   dir/ :关闭该权限