Linux高级权限管理 - ACL

时间:2024-07-16 08:37:20

传统权限模型缺点:

传统的UGO权限模型无法应对负责的权限设置要求,如对于一个文件只能设置一个组,并且对该组进行权限控制,但是如果该文件有多个组合会对其进行访问,并且都要要求权限限制时,传统的UGO模型就无法满足需求了。

这时候就需要采用ACL权限来管理了

ACL(Access Control List)是一种高级权限机制,允许我们对一个文件或文件夹进行灵活的、复杂的权限设置

ACL需要在挂在文件的时候打开ACL功能:

mount -o acl /dev/sda5 /mnt

ACL允许针对不同用户、不同组对一个目标文件、文件夹进行权限设置,不受UGO模型限制

查看一个文件、文件夹的ACL设置

getfacl linuxcast.net

针对一个用户对文件进行ACL设置:

setfacl -m u:nash_su:rwx linuxcast.net

m是modify的意思,u是user,nash_su是用户名,rwx是赋予nash_su对linuxcast.net文件的权限

针对一个组对文件进行ACL设置

setfacl -m g:training:rw linuxcast.net

m是group,training是group的名字,rw是training组对linuxcast.net的权限

删除一个ACL设置:

setfacl -x u:nash_su linuxcast.net

这时候用户名后面就不需要带权限,直接删除就OK

Linux高级权限管理 - ACL

第一步,新建一个统一的文件夹

mkdir linuxcast.net

然后在其下面新建三个子文件夹,文件夹名分别为:training , market , manage

mkdir training
mkdir market
mkdir manage

这时的默认权限为

drwxr-xr-x.  root root  Sep  : manage
drwxr-xr-x. root root Sep : market
drwxr-xr-x. root root Sep : training

这时,使用以下命令修改training文件夹所在的组,其它两个组类似

chgrp training training

这时权限为:

drwxr-xr-x.  root manage    Sep  : manage
drwxr-xr-x. root market Sep : market
drwxr-xr-x. root training Sep : training

建好文件后,因为其它组的用户不能访问本组的用户的文件,所以使用

chmod o-rwx training

每个组的other的权限减去rwx,这时其他组就不能再访问本组的权限了。

这时候新建的用户目录的组应该继承其部门的组,所以使用

chmod g+s training

g是组的意思,s是继承的意思,也就是training下面的组就都是trining组了,修改后信息如下

drwxr-s---.  root manage    Sep  : manage
drwxr-s---. root market Sep : market
drwxr-s---. root training Sep : training

新建用户的权限为:

drwxr-sr-x.  root training  Sep  : bob
drwxr-sr-x. root training Sep : nash_su

再分别使用

chmod nash_su nash_su

把该文件的默认用户名root修改为该用户名

drwxr-sr-x.  bob     training  Sep  : bob
drwxr-sr-x. nash_su training Sep : nash_su

现在就差最后一部了,传统的UGO权限这时已经无法在给boss查看和执行的权限了,这时候,就可以用到 setfacl 了,使用命令

setfacl -m g:boss:rx training

m是modify的意思,g是group的意思,g后面接组的名字,组名后再接权限,这样就实现training部门,boss就有查看和执行该文件下面所有的权限了

使用 getfacl training 查看该文件下的权限信息

# file: training
# owner: root
# group: training
# flags: -s-
user::rwx
group::r-x
group:boss:r-x
mask::r-x
other::---

这时候的组中就有了boss组的查看和执行的权限了。