用户权限管理

一、权限查看及读取

1.权限查看

命令	功能
ls -l file	查看文件权限

ls -ld dir|查看目录权限

2.权限的读取

“文件的属性被叫做文件的元数据（meta data）”
”一种元数据用1个byte来记录内容“

1｜2｜3｜4｜5｜6｜7｜8｜9
【1】
文件类型

• “-” 普通文件
• d 目录
• l 软连接
• b 快设备
• c 字符设备
• s socket套接字
• p 管道
  【2】
  用户权限
  —｜---｜—
  u　ｇ　ｏ
  【3】
• 系统的selinux开启
  【4】
• 对于文件：文件内容被系统记录的次数（硬链接个数）
• 对于目录：目录中子目录的个数
  【5】
• 文件拥有者
  【6】
• 文件所有组
  【7】
• 对于文件：文件内容大小
• 对于目录：目录中子文件的元数据大小
  【8】
• 文件内容被修改的时间
  【9】
• 文件名称

二、普通权限的类型及作用

1.用户对文件的身份

用户	身份
u	user 文件的拥有者，ls -l看到的第五列信息
g	group文件拥有组，ls -l 看到的第六列信息

2.对文件的所有者与所有组进行修改

指令|作用

• chown username.group 文件或目录名|改变文件或目录的所有者与所有组
• chown -R username.group 目录名/|改变目录与目录下文件的所有者与所有组
• chgrp group 文件或目录名|改变文件或目录所有组
• chgrp -R group 目录名/|改变目录与目录下文件的所有组
  
  
  
  

3.改变文件权限

权限	对文件	对目录
-	权限未开启	权限未开启
r（可读）	对文件：可以读取文件内容	对目录：可以ls列出目录中的文件
w（可写）	对文件：可以更改文件内容	对目录：可以在目录中新建或者删除文件
x（可执行）	对文件：可以用文件名称调用文件内记录的程序	对目录：可以进入目录中

4.权限更改方式

1.chmod ＜u|g|o|a＞ ＜+|-|=＞＜r|w|x＞ file

2.chmod 数字方式设定权限
将rwx使用权限波尔表示

权限	数字
- - -	0
- - x	1
- w -	2
- w x	3
r - -	4
r - x	5
r w -	6
r w x	7

示例：chomd 777 （rwxrwxrwx）file

三、系统默认权限设定方式

#系统本身存在的意义：共享资源
#在安全这一角度进行考虑，如果系统开放共享的资源越少，系统本身的安全性就越高
#想要保证系统的安全又想要系统创造价值，所以把应该开放的权力默认开放
#不安全的权力要默认保留
保留权力的方法
umask :系统保留权力

命令	功能
umask	查看系统保留权力
umask 权限值	临时设定系统保留权力

目录默认权限=777-umask
文件默认权限=777-022-umask
umask的权限值越高，系统安全性就越高
umask临时更改：umask xxx:将umask的值临时更改为xxx
umask永久更改：
vim /etc/bashrc #浏览shell系统配置文件
74（大致行数） if[ $UID -gt 199 |] &&["‘id - gn’"="‘id - un’"];then
75 umask 002 → XXX:普通用户的umask
76 else
77 umask 022:root用户的umask
78 fi

vim /etc/prｏfile #系统环境配置文件
59 （大致行数） if[ $UID -gt 199 |] &&["‘id - gn’"="‘id - un’"];then
60 umask 002 → XXX#普通用户的umask
61 else
62 umask 022#root用户的umask
63 fi

source /etc/bashrc
source /etc/profile

#source可以使更改的内容立刻被系统所识别

四、特殊权限

stickyid#粘贴位
针对目录：如果一个目录stickyid开启，那么这个目录中的文件只能被文件所有人删除

命令	作用
chmod 1（原始权限） dir	该目录的文件只能被文件所有人删除
chmod o+t dir	- - - - - -

sgid#强制位
针对目录·：目录中新建的文件自动归属到目录所属组中

命令	作用
chmod 2（源文件权限）dir	目录中新建的文件自动归属到目录所属组
chmod g+s dir	- - - - - -

suid:冒险位
只针对二进制的可执行文件（c程序）
当运行二进制可执行文件时都是用文件拥有组身份运行，和执行用户无关

命令	作用

chmod u+s file

五、acl权限列表

1.用处

使得特定用户对所指定的文件拥有指定的权限

2.acl列表权限读取

getfacl file
内容分析

内容	表示
file：file	文件名
owner：root	文件拥有者
group：root	文件拥有组
user：：r w -	文件拥有者权限
user：xxx：	特殊指定用户的权限
group：：r - -	文件拥有组权限
group：xxx：	特殊指定组权限
mask：：r w	可以赋给特殊用户和特殊用户组的最大权限阀值
other：：r - -	其他人的权限

#注意事项：当文件权限列表开始后，不适用ls -l的方式读取文件权限

3.acl列表的控制

命令	功能
setfacl -m u:xxx:rw file	特殊指定用户权限

setfacl -m g：xxx：rw file	特殊指定组权限

setfacl -m u：：rwx file	指定文件拥有者权限

setfacl -m g：：rwx file	指定文件拥有组权限

setfacl -x u;xxx file	删除列表中的xxx

setfacl -b file	关闭acl列表

acl权限优先级
拥有者 > 指定特殊用户 > 权限多的组 > 权限少的组 >　其他
acl mask 控制mask是能够赋予指定用户权限的最大阀值
#注意事项：在对文件的acl列表设定完成后，使用chmod减少文件的拥有组权力，mask的值会发生改变

恢复命令	setfacl -m m：权限 file

acl列表的默认权限
命令|功能
setfacl -R -m u：xxx：rwx dir/|对dir/和目录下已经存在的文件生效

setfacl -m u：xxx：rwx dir|只对目录本身生效
以上命令只对命令之前的存在的生效，新建文件是不会被设定的

命令	功能
setfacl -m d：u：xxx：rwx dir/	针对与dir/目录中新建文件生效

命令	功能
setfacl -k dir/	取消针对新建文件生效的命令

六、attr权限

#attr限制所有用户

命令	功能
i	不能做任何更改
a	能添加不能删除
lsattr dir｜file	查看attr权限

chattr +i｜+a｜-i｜-a dir｜file|设定attr权限