Linux高級的權限管理ACL

goo1016

                                [color="#000000"]1. 為什么要使用ACL
先讓我們來簡單地復習一下
Linux
的file permission.
在linux下,對一個
文件
(或者資源)可以進行操作的對象被分為三類: file owner(文件的擁有者), group(組,注意不一定是文件擁有者所在的組), other (其他)
而對于每一類別又分別定義了read, write and execute/search permission (這里不討論SUID, SGID以及Sticky bit的設置)
通過ls -l命令就我們就可以列出一個文件的permission
代碼:
# ls -l [leonard@localhost ~]$ ls -l -rw-rw---- 1 leonard admin 0 Jul 3 20:12 test.txt
在 這里說明了對于test.txt這個文件leonard用戶(由于是file owner)擁有read
& write permission. 所有屬于admin group的用戶(group)擁有read & write
permission. 其他任何用戶(other)對于文件沒有任何的permission
如果我們現(xiàn)在希望john這個用戶也可以對test.txt文件進行讀寫操作. 我自己大概會想到以下幾種辦法 (這里假設john不屬于admin group)
1. 給文件的other類別增加read and write permission. 這樣由于john會被歸為other類別,那么他也將擁有讀寫的權限
2. 將john加入到admin group. 那么john會被歸為group類別,那么他將擁有讀寫的權限
3. 設置sudo, 使john能夠以leonard的身份對test.txt進行操作,從而獲得讀寫權限
第一種做法的問題在于所有用戶都將對test.txt擁有讀寫操作,顯然這種做法不可取
第二種做法的問題在于john被賦予了過多的權限.所有屬于admin組的文件,john都可以擁有其等同的權限了
第三種做法雖然可以達到只限定john用戶一人擁有對test.txt文件的讀寫權限.但是需要對sudoers文件進行嚴格的格式控制. 而且當文件數(shù)量和用戶很多的時候,這種方法就相當?shù)夭混`活了
看 來好像都沒有一個很好的解決方案. 其實問題就出在Linux file
permission里面,對于other的定義過于廣泛,以至于很難把permission限定于一個不屬于file
owner和group的用戶身上. 那么Access Control List (ACL)就是用來幫助我們解決這個問題的.
簡單地來說ACL就是可以設置特定用戶或者用戶組對于一個文件的操作權限. 需要掌握的命令也只有三個: getfacl, setfacl, chacl
在接下去討論之前大家可以先安裝上ACL的RPM包
代碼:
# rpm -ivh libacl-2.2.39-1.1 acl-2.2.39-1.1.i386.rpm
2. ACL的名詞定義
先來看看在ACL里面每一個名詞的定義.這些名詞我大多從man page上摘下來雖然有些枯燥,但是對于理解下面的內(nèi)容還是很有幫助的
ACL 是由一系列的Access Entry所組成的. 每一條Access
Entry定義了特定的類別可以對文件擁有的操作權限. Access Entry有三個組成部分: Entry tag type,
qualifier (optional), permission
我們先來看一下最重要的Entry tag type, 它有以下幾個類型
ACL_USER_OBJ: 相當于Linux里file_owner的permission
ACL_USER: 定義了額外的用戶可以對此文件擁有的permission
ACL_GROUP_OBJ: 相當于Linux里group的permission
ACL_GROUP: 定義了額外的組可以對此文件擁有的permission
ACL_MASK: 定義了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大權限 (這個我下面還會專門討論)
ACL_OTHER: 相當于Linux里other的permission
讓我們來據(jù)個例子說明一下. 下面我們就用getfacl命令來查看一個定義好了的ACL文件
代碼:
[leonard@localhost ~]$ getfacl ./test.txt
# file: test.txt
# owner: leonard
# group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw- other::r--
前面三個以#開頭的定義了文件名,file owner和group. 這些信息沒有太大的作用,接下來我們可以用 --omit-header來省略掉
user::rw- 定義了ACL_USER_OBJ, 說明file owner擁有read and write permission
user:john:rw- 定義了ACL_USER,這樣用戶john就擁有了對文件的讀寫權限,實現(xiàn)了我們一開始要達到的目的
group::rw- 定義了ACL_GROUP_OBJ,說明文件的group擁有read and write permission
group:dev:r-- 定義了ACL_GROUP,使得dev組擁有了對文件的read permission
mask::rw- 定義了ACL_MASK的權限為read and write
other::r-- 定義了ACL_OTHER的權限為read
從這里我們就可以看出ACL提供了我們可以定義特定用戶和用戶組的功能. 那么接下來我們就來看一下如何設置一個文件的ACL
3. 如何設置ACL文件
首先我們還是要講一下設置ACL文件的格式. 從上面的例子中我們可以看到每一個Access Entry都是由三個被:號分隔開的字段所組成. 第一個就是Entry tag type
user 對應了ACL_USER_OBJ和ACL_USER
group 對應了ACL_GROUP_OBJ和ACL_GROUP
mask 對應了ACL_MASK
other 對應了ACL_OTHER
第二個字段稱之為qualifier.也就是上面例子中的john和dev組.它定義了特定用戶和擁護組對于文件的權限.這里我們也可以發(fā)現(xiàn)只有user和group才有qualifier,其他的都為空
第三個字段就是我們熟悉的permission了. 它和Linux的permission一樣定義,這里就不多講了
下面我們就來看一下怎么設置test.txt這個文件的ACL讓它來達到我們上面的要求
一開始文件沒有ACL的額外屬性
代碼:
[leonard@localhost ~]$ ls -l
-rw-rw-r-- 1 leonard admin 0 Jul 3 22:06 test.txt
[leonard@localhost ~]$ getfacl --omit-header ./test.txt
user::rw- group::rw- other::r--
我們先讓用戶john擁有對test.txt文件的讀寫權限
代碼:
[leonard@localhost ~]$ setfacl -m user:john:rw- ./test.txt
[leonard@localhost ~]$ getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
mask::rw-
other::r--
這時我們就可以看到john用戶在ACL里面已經(jīng)擁有了對文件的讀寫權限. 這個時候如果我們查看一下linux的permission我們還會發(fā)現(xiàn)一個不一樣的地方
代碼:
[leonard@localhost ~]$ ls -l ./test.txt
-rw-rw-r--+ 1 leonard admin 0 Jul 3 22:06 ./test.txt
在文件permission的最后多了一個+號. 當任何一個文件擁有了ACL_USER或者ACL_GROUP的值以后我們就可以稱它為ACL文件.這個+號就是用來提示我們的
我們還可以發(fā)現(xiàn)當一個文件擁有了ACL_USER或者ACL_GROUP的值時ACL_MASK同時也會被定義
接下來我們來設置dev組擁有read permission
代碼:
[leonard@localhost ~]$ setfacl -m group:dev:r-- ./test.txt
[leonard@localhost ~]$ getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--
到這里就完成了我們上面講到的要求.是不是很簡單呢
4. ACL_MASK 和 Effective permission
這里需要重點講一下ACL_MASK, 因為這是掌握ACL的另一個關鍵
在Linux file permission里面大家都知道比如對于rw-rw-r--來說,
當中的那個rw-是指文件組的permission. 但是在ACL里面這種情況只是在ACL_MASK不存在的情況下成立.
如果文件有ACL_MASK值,那么當中那個rw-代表的就是mask值而不再是group permission了
讓我們來看下面這個例子
代碼:
[leonard@localhost ~]$ ls -l
-rwxrw-r-- 1 leonard admin 0 Jul 3 23:10 test.sh
這里說明test.sh文件只有file owner: leonard擁有read, write, execute/search permission. admin組只有read and write permission
現(xiàn)在我們想讓用戶john也對test.sh具有和leonard一樣的permission
代碼:
[leonard@localhost ~]$ setfacl -m user:john:rwx ./test.sh
[leonard@localhost ~]$ getfacl --omit-header ./test.sh
user::rwx user:john:rwx
group::rw-
mask::rwx
other::r--
這里我們看到john已經(jīng)擁有了rwx的permission. mask值也被設定為rwx.那是因為它規(guī)定了ACL_USER, ACL_GROUP和ACL_GROUP_OBJ的最大值
現(xiàn)在我們再來看test.sh的Linux permission, 它已經(jīng)變成了
代碼:
[leonard@localhost ~]$ ls -l
-rwxrwxr--+ 1 leonard admin 0 Jul 3 23:10 test.sh
那 么如果現(xiàn)在admin組的用戶想要執(zhí)行test.sh的程序會發(fā)生什么情況呢? 它會被permission
deny.原因在于實際上admin組的用戶只有read and write
permission.這里當中顯示的rwx是ACL_MASK的值而不是group的permission
所以從這里我們就可以知道,如果一個文件后面有+標記,我們都需要用getfacl來確認它的permission,以免發(fā)生混淆
下面我們再來繼續(xù)看一個例子
假如現(xiàn)在我們設置test.sh的mask為read only,那么admin組的用戶還會有write permission嗎?
代碼:
[leonard@localhost ~]$ setfacl -m mask::r-- ./test.sh
[leonard@localhost ~]$ getfacl --omit-header ./test.sh
user::rwx
user:john:rwx    #effective:r--
group::rw-       #effective:r--
mask::r--
other::r--
這時候我們可以看到ACL_USER和ACL_GROUP_OBJ旁邊多了個#effective:r--, 這是什么意思呢?
讓 我們再來回顧一下ACL_MASK的定義. 它規(guī)定了ACL_USER,
ACL_GROUP_OBJ和ACL_GROUP的最大權限.那么在我們這個例子中他們的最大權限也就是read
only.雖然我們這里給ACL_USER和ACL_GROUP_OBJ設置了其他權限,但是他們真正有效果的只有read權限.
這時我們再來查看test.sh的Linux file permission時它的group permission也會顯示其mask的值(i.e. r--)
代碼:
[leonard@localhost ~]$ ls -l
-rwxr--r--+ 1 leonard admin 0 Jul 3 23:10 test.sh
5. Default ACL
上面我們所有講的都是Access ACL, 也就是對文件而言. 下面我簡單講一下Default ACL. Default ACL是指對于一個目錄進行Default ACL設置,并且在此目錄下建立的文件都將繼承此目錄的ACL
同樣我們來做一個試驗說明
比如現(xiàn)在leonard用戶建立了一個dir目錄
代碼:
[leonard@localhost ~]$ mkdir dir
他希望所有在此目錄下建立的文件都可以被john用戶所訪問. 那么我們就應該對dir目錄設置Default ACL
代碼:
[leonard@localhost ~]$ setfacl -d -m user:john:rw ./dir
[leonard@localhost ~]$ getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x
這里我們可以看到ACL定義了default選項, john用戶擁有了default的read, write, excute/search permission.所有沒有定義的default都將從file permission里copy過來
現(xiàn)在leonard用戶在dir下建立一個test.txt文件
代碼:
[leonard@localhost ~]$ touch ./dir/test.txt
[leonard@localhost ~]$ ls -l ./dir/test.txt
-rw-rw-r--+ 1 leonard leonard 0 Jul 3 23:46 ./dir/test.txt
[leonard@localhost ~]$ getfacl --omit-header ./dir/test.txt
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r--
這里我們看到在dir下建立的文件john用戶自動就有了read and write permission
6. ACL 相關命令
前 面的例子中我們都注意到了getfacl命令是用來讀取文件的ACL,
setfacl是用來設定文件的Acess ACL. 這里還有一個chacl是用來改變文件和目錄的Access ACL and Default
ACL. 它的具體參數(shù)大家可以去看man page. 我只想提及一下chacl -B.
它可以徹底刪除文件或者目錄的ACL屬性(包括Default ACL). 比如你即使用了setfacl
-x刪除了所有文件的ACL屬性,那個+號還是會出現(xiàn)在文件的末尾.所以正確的刪除方法應該是用chacl -B
用cp來復制文件的時候我們現(xiàn)在可以加上-p選項.這樣在拷貝文件的時候也將拷貝文件的ACL屬性.對于不能拷貝的ACL屬性將給出警告
mv命令將會默認地移動文件的ACL屬性. 同樣如果操作不允許的情況下會給出警告

7. 需要注意的幾點
如果你的文件
系統(tǒng)
不支持ACL的話,你也許需要重新mount你的file system
mount -o remount, acl [mount point]
如果用chmod命令改變Linux file permission的時候相應的ACL值也會改變.反之改變ACL的值,相應的file permission也會改變
8. 參考資料
1. man acl 個人感覺man page已經(jīng)講的比較詳細,只是上面名詞比較多看起來會比較繁瑣
2. http://www.suse.de/~agruen/acl/linux-acls/online/ 如果你英語不錯的話可以看一下這篇關于POSIX ACL的介紹,上面有許多不錯的例子。
               
               
               
               
               
               
               

本文來自ChinaUnix博客，如果查看原文請點：http://blog.chinaunix.net/u3/100737/showart_1995684.html