ACL權限設置命令setfacl和getfacl命令

 ACL權限設置命令setfacl和getfacl命令

setfacl命令是用來在命令行里設置ACL（訪問控制列表）。在命令行里，一系列的命令跟隨以一系列的文件名。

[TOC]

 選項

 |參數|說明|
 |-|-|
 |-b：|刪除所有擴展的acl規則，基本的acl規則(所有者，群組，其他）將被保留。
 |-k：|刪除缺省的acl規則。如果沒有缺省規則，將不提示。
 |-n：|不要重新計算有效權限。setfacl默認會重新計算ACL mask，除非mask被明確的制定。
 |--mask：|重新計算有效權限，即使ACL mask被明確指定。|
 |-d：|設定默認的acl規則。
 |--restore=file：|從文件恢復備份的acl規則（這些文件可由getfacl -R產生）。通過這種機制可以恢復整個目錄樹的acl規則。此參數不能和除--test以外的任何參數一同執行。
 |--set=acl| 設置當前文件的ACL規則|
|--set-file=file| 從文件讀入ACL規則來設置當前文件或目錄的ACL規則|
 |--test：|測試模式，不會改變任何文件的acl規則，操作后的acl規格將被列出。|
 |-R：|遞歸的對所有文件及目錄進行操作。
 |-L：|跟蹤符號鏈接，默認情況下只跟蹤符號鏈接文件，跳過符號鏈接目錄。
 |-P：|跳過所有符號鏈接，包括符號鏈接文件。
 |--version：|輸出setfacl的版本號並退出。
 |--help：|輸出幫助信息。
 |--：|標識命令行參數結束，其后的所有參數都將被認為是文件名 -：如果文件名是-，則setfacl將從標准輸入讀取文件名。|
|-m|更改文件或目錄的ACL規則|
|-M|從一個文件讀入ACL設置信息並以此為模版修改當前文件或目錄的ACL規則|
|-x|刪除文件或目錄指定的ACL規則|
|-X|從一個文件讀入ACL設置信息並以此為模版刪除當前文件或目錄的ACL規則|

- 選項-m和-x后邊跟以acl規則。多條acl規則以逗號(,)隔開。選項-M和-X用來從文件或標准輸入讀取acl規則。
- 選項--set和--set-file用來設置文件或目錄的acl規則，先前的設定將被覆蓋。
- 選項-m(--modify)和-M(--modify-file)選項修改文件或目錄的acl規則。
- 選項-x(--remove)和-X(--remove-file)選項刪除acl規則。

　　當使用-M，-X選項從文件中讀取規則時，setfacl接受getfacl命令輸出的格式。每行至少一條規則，以#開始的行將被視為注釋。

　　當在不支持ACLs的文件系統上使用setfacl命令時，setfacl將修改文件權限位。如果acl規則並不完全匹配文件權限 位，setfacl將會修改文件權限位使其盡可能的反應acl規則，並會向standard error發送錯誤消息，以大於0的狀態返回。

 權限

文件的所有者以及有CAP_FOWNER的用戶進程可以設置一個文件的acl。（在目前的linux系統上，root用戶是唯一有CAP_FOWNER能力的用戶）

 ACL規則

setfacl命令可以識別以下的規則格式：

- [d[efault]:] [u[ser]:]uid [:perms] 指定用戶的權限，文件所有者的權限（如果uid沒有指定）。
- [d[efault]:] g[roup]:gid [:perms] 指定群組的權限，文件所有群組的權限（如果gid未指定）
- [d[efault]:] m[ask][:] [:perms] 有效權限掩碼 
- [d[efault]:] o[ther] [:perms] 其他的權限 

恰當的acl規則被用在修改和設定的操作中，對於uid和gid，可以指定一個
 數字，也可指定一個名字。perms域是一個代表各種權限的字母的組合：讀-r寫-w執行-x，執行只適合目錄和一些可執行的文件。pers域也可設置為八進制格式。

 自動創建的規則

最初的，文件目錄僅包含3個基本的acl規則。為了使規則能正常執行，需要滿足以下規則。

- 3個基本規則不能被刪除。
- 任何一條包含指定的用戶名或群組名的規則必須包含有效的權限組合。
- 任何一條包含缺省規則的規則在使用時，缺省規則必須存在。

 ACL的名詞定義

ACL是由一系列的Access Entry所組成的，每一條Access Entry定義了特定的類別可以對文件擁有的操作權限。
Access Entry有三個組成部分：
- Entry tag type
- qualifier (optional)
- permission。

Entry tag type它有以下幾個類型：

類型	說明
ACL_USER_OBJ：	相當於Linux里file_owner的permission
ACL_USER：	定義了額外的用戶可以對此文件擁有的permission
ACL_GROUP_OBJ：	相當於Linux里group的permission
ACL_GROUP：	定義了額外的組可以對此文件擁有的permission
ACL_MASK：	定義了ACL_USER,ACL_GROUP_OBJ和ACL_GROUP的最大權限
ACL_OTHER：	相當於Linux里other的permission

 舉例例子說明一下

下面我們就用getfacl命令來查看一個定義好了的ACL文件：

[root@localhost ~]# getfacl ./test.txt #file: test.txt #owner: root #group: admin user::rw- user:john:rw- group::rw- group:dev:r-- mask::rw- other::r--

前面三個以#開頭的定義了文件名，fi
 le owner和group。這些信息沒有太大的作用，接下來我們可以用--omit-header來省略掉。

類型	說明
user::rw-	定義了ACL_USER_OBJ, 說明file owner擁有read and write permission
user:john:rw-	定義了ACL_USER,這樣用戶john就擁有了對文件的讀寫權限,實現了我們一開始要達到的目的
group::rw-	定義了ACL_GROUP_OBJ,說明文件的group擁有read and write permission
group:dev:r--	定義了ACL_GROUP,使得dev組擁有了對文件的read permission
mask::rw-	定義了ACL_MASK的權限為read and write
other::r--	定義了ACL_OTHER的權限為read

從這里我們就可以看出ACL提供了我們可以定義特定用戶和用戶組的功能，那么接下來我們就來看一下如何設置一個文件的ACL：

 如何設置ACL文件

首先我們還是要講一下設置ACL文件的格式，從上面的例子中我們可以看到每一個Access Entry都是由三個被：號分隔開的字段所組成，第一個就是Entry tag type。

- user 對應了ACL_USER_OBJ和ACL_USER 
- group 對應了ACL_GROUP_OBJ和ACL_GROUP
- mask 對應了ACL_MASK
- other 對應了ACL_OTHER

第二個字段稱之為qualifier，也就是上面例子中的john和dev組，它定義了特定用戶和擁護組對於文件的權限。這里我們也可以發現只有 user和group才有qualifier，其他的都為空。第三個字段就是我們熟悉的permission了。它和Linux的permission一 樣定義，這里就不多講了。

 實例一：

 設置test.txt這個文件的ACL讓它來達到我們上面的要求。

一開始文件沒有ACL的額外屬性：

[root@localhost ~]# ls -l -rw-rw-r-- 1 root admin 0 Jul 3 22:06 test.txt [root@localhost ~]# getfacl --omit-header ./test.txt user::rw- group::rw- other::r--

 我們先讓用戶john擁有對test.txt文件的讀寫權限：

[root@localhost ~]# setfacl -m user:john:rw- ./tes  t.txt  [root@localhost ~]# getfacl --omit-header ./test.txt  user::rw-  user:john:rw-  group::rw-  mask::rw-  other::r--

  這時我們就可以看到john用戶在ACL里面已經擁有了對文件的讀寫權。

這個時候如果我們查看一下linux的permission我們還會發現一個不一樣的地方。

[root@localhost ~]# ls -l ./test.txt  -rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./test.txt 

在文件permission的最后多了一個+號，當任何一個文件擁有了ACL_USER或者ACL_GROUP的值以后我們就可以稱它為ACL文件，這個+號就是用來提示我們的。

 我們還可以發現當一個文件擁有了ACL_USER或者ACL_GROUP的值時ACL_MASK同時也會被定義。

 接下來我們來設置dev組擁有read permission：

[root@localhost ~ ]# setfacl -m group:dev:r-- ./test.txt [root@localhost ~]# getfacl --omit-header ./test.txt user::rw- user:john:rw- group::rw- group:dev:r--  mask::rw- other::r--

 到這里就完成了我們上面講到的要求，是不是很簡單呢。
 

 ACL_MASKEffective permission

這里需要重點講一下ACL_MASK，因為這是掌握ACL的另一個關鍵，在Linux file permission里面大家都知道比如對於rw-rw-r--來說, 當中的那個rw-是指文件組的permission. 但是在ACL里面這種情況只是在ACL_MASK不存在的情況下成立。如果文件有ACL_MASK值，那么當中那個rw-代表的就是mask值而不再是group permission了。 

 讓我們來看下面這個例子： 

[root@localhost ~]# ls -l -rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh 

這里說明test.sh文件只有file owner: root擁有read, write, execute/search permission。admin組只有read and write permission

 讓用戶john也對test.sh具有和root一樣的permission。

[root@localhost ~]# setfacl -m user:john:rwx ./test.sh  [root@localhost ~]# getfacl --omit-header ./test.sh  user::rwx user:john:rwx  group::rw-  mask::rwx other::r--

這里我們看到john已經擁有了rwx的permission，mask值也被設定為rwx，那是因為它規定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最大值，現在我們再來看test.sh的Linux permission，它已經變成了：

[root@localhost ~]# ls -l -rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh 

那么如果現在admin組的用戶想要執行test.sh的程序會發生什么情況呢？它會被permission deny。原因在於實際上admin組的用戶只有read and write permission，這里當中顯示的rwx是ACL_MASK的值而不是group的permission。

所以從這里我們就可以知道，如果一個文件后面有+標記，我們都需要用getfacl來確認它的permission，以免發生混淆。
下面我們再來繼續看一個例子，假如現在我們設置test.sh的mask為read only，那么admin組的用戶還會有write permission嗎？

[root@localhost ~]# setfacl -m mask::r-- ./test.sh [root@localhost ~]# getfacl --omit-header ./test.sh user::rwx user:john:rwx #effective:r-- group::rw- #effective:r--  mask::r-- other::r--

這時候我們可以看到ACL_USER和ACL_GROUP_OBJ旁邊多了個#effective:r--，這是什么意思呢？讓我們再來回顧一下ACL_MASK的定義。它規定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最大權限。那么在我們這個例子中他們的最大權限也就是read only。雖然我們這里給ACL_USER和ACL_GROUP_OBJ設置了其他權限，但是他們真正有效果的只有read權限。
這時我們再來查看test.sh的Linux file permission時它的group permission也會顯示其mask的值(r--)

[root@localhost ~]# ls -l -rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh

 Default ACL

上面我們所有講的都是Access ACL，也就是對文件而言。下面我簡單講一下Default ACL。Default ACL是指對於一個目錄進行Default ACL設置，並且在此目錄下建立的文件都將繼承此目錄的ACL。

同樣我們來做一個試驗說明，比如現在root用戶建立了一個dir目錄：

[root@localhost ~]# mkdir dir

他希望所有在此目錄下建立的文件都可以被john用戶所訪問，那么我們就應該對dir目錄設置Default ACL。

[root@localhost ~]# setfacl -d -m user:john:rw ./dir [root@localhost ~]# getfacl --omit-header ./dir user::rwx group::rwx other::r-x default:user::rwx default:user:john:rwx default:group::rwx default:mask::rwx default: other::r-x

這里我們可以看到ACL定義了default選項，john用戶擁有了default的 read, write, excute/search permission。所有沒有定義的default都將從file permission里 copy過來，現在root用戶在dir下建立一個test.txt文件。 

[root@localhost ~]# touch ./dir/test.txt [root@localhost ~]# ls -l ./dir/test.txt -rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./dir/test.txt [root@localhost ~]# getfacl --omit-header ./dir/test.txt  user::rw- user:john:rw- group::rwx #effective:rw- mask::rw- other::r-- 

這里我們看到在dir下建立的文件john用戶自動就有了read and write permission

 ACL相關命令

前面的例子中我們都注意到了getfacl命令是用來讀取文件的ACL，setfacl是用來設定文件的Acess ACL。這里還有一個 chacl是用來改變文件和目錄的Access ACL and Default ACL，它的具體參數大家可以去看man page。我只想提及一下 chacl -B。它可以徹底刪除文件或者目錄的ACL屬性(包括Default ACL)，比如你即使用了setfacl -x刪除了所有文件的ACL 屬性，那個+號還是會出現在文件的末尾，所以正確的刪除方法應該是用chacl -B用cp來復制文件的時候我們現在可以加上-p選項。
這樣在拷貝文件的時候也將拷貝文件的ACL屬性，對於不能拷貝的ACL屬性將給出警告。
mv命令將會默認地移動文件的ACL屬性，同樣如果操作不允許的情況下會給出警告。 

 需要注意的幾點 如果你的文件系統不支持ACL的話，你也許需要重新mount你的file system：

mount -o remount, acl [mount point] 如果用chmod命令改變Linux file perm
 ission的時候相應的ACL值也會改變，反之改變ACL的值，相應的file permission也會改變。

 實例二

 1.准備工作

 首先創建一個512KB的空白文件：

[root@FC3-vm opt]#  dd if=/dev/zero of=/opt/testptn count=512 512+0 records in 512+0 records out

 和一個loop設備聯系在一起：

[root@FC3-vm opt]#  losetup /dev/loop0 /opt/testptn

 創建一個EXT2的文件系統：

[root@FC3-vm opt]#  mke2fs /dev/loop0 mke2fs 1.35 (28-Feb-2004) max_blocks 262144, rsv_groups = 32, rsv_gdb = 0 Filesystem label= OS type: Linux Block size=1024 (log=0) Fragment size=1024 (log=0) 32 inodes, 256 blocks 12 blocks (4.69%) reserved for the super user First data block=1 1 block group 8192 blocks per group, 8192 fragments per group 32 inodes per group Writing inode tables: done Writing superblocks and filesystem accounting information: done This filesystem will be automatically checked every 30 mounts or 180 days, whichever comes first. Use tune2fs -c or -i to override.

 掛載新建的文件系統

注意mount選項里的acl標志，我們靠它來通知內核我們需要在這個文件系統中使用ACL

[root@FC3-vm opt]#  mount -o rw,acl /dev/loop0 /mnt [root@FC3-vm opt]#  cd /mnt [root@FC3-vm mnt]#  ls lost+found

現在我已經得到了一個小型的文件系統。而且是支持ACL的。並且即使徹底損壞也不會影響硬盤上其他有價值的數據。可以開始我們的ACL體驗之旅了。

回頁首

 2.ACL的基本操作：添加和修改

 首先新建一個文件作為實施ACL的對象：

[root@FC3-vm mnt]#  touch file1 [root@FC3-vm mnt]#  ls -l file1 -rw-r--r-- 1 root root     7 Dec 11 00:28 file1

 查看這個文件缺省的ACL

這時這個文件除了通常的UGO的權限之外，並沒有ACL

[root@FC3-vm mnt]#  getfacl file1 # file: file1 # owner: root # group: root user::rw- group::r-- other::r--

注意：即使是不支持ACL的情況下，getfacl仍然能返回一個這樣的結果。不過setfacl是不能工作的。

 添加幾個用戶和組，一會我將使用ACL賦予他們不同的權限：

[root@FC3-vm mnt]#  groupadd testg1 [root@FC3-vm mnt]#  useradd testu1 [root@FC3-vm mnt]#  useradd testu2 [root@FC3-vm mnt]#  usermod -G testg1 testu1

 現在我們看看testu1能做什么：

[root@FC3-vm mnt]# su testu1 [testu1@FC3-vm mnt]$ echo "testu1" >> file1 bash: file1: Permission denied

失敗了。因為file1並不允許除了root以外的用戶寫。

 修改file1的ACL賦予testu1足夠的權限：

[root@FC3-vm mnt]# setfacl -m u:testu1:rw file1 [root@FC3-vm mnt]# su testu1 [testu1@FC3-vm mnt]$ echo "testu1" >> file1 [testu1@FC3-vm mnt]$ cat file1 testu1

修改成功了，用戶testu1可以對file1做讀寫操作了。

 我們來看一下file1的ACL

[testu1@FC3-vm mnt]$ getfacl file1 # file: file1 # owner: root # group: root user::rw- user:testu1:rw- group::r-- mask::rw- other::r--

 我們ls看一下：

[root@FC3-vm mnt]# ls -l file1 -rw-rw-r--+ 1 root root     7 Dec 11 00:28 file1

可以看到那個"+"了么？就在通常我們看到的權限位的旁邊。這個說明file1設置了ACL

 修改一下testu1的權限，同時給testg1這個組以讀的權限：

[root@FC3-vm mnt]# setfacl -m u:testu1:rwx,g:testg1:r file1 [root@FC3-vm mnt]# getfacl file1 # file: file1 # owner: root # group: root user::rw- user:testu1:rwx group::r-- group:testg1:r-- mask::rwx other::r--

可以看到設置后的權限，testu1已經有了執行的權限，而testg1這個組也獲得了讀取文件內容的權限。也許有人已經注意到了兩個問題：首 先，file1的組權限從r--變成了rw-。其次，mask是什么？為什么也變化了呢？我們先從mask說起。如果說acl的優先級高於UGO，那么 mask就是一個名副其實的最后一道防線。它決定了一個用戶/組能夠得到的最大的權限。這樣我們在不破壞已有ACL的定義的基礎上，可以臨時提高或是降低 安全級別：

 設置默認MASK

[root@FC3-vm mnt]# setfacl -m mask::r file1 [root@FC3-vm mnt]# getfacl file1 # file: file1 # owner: root # group: root user::rw- user:testu1:rwx                 #effective:r-- group::r-- group:testg1:r-- mask::r-- other::r-- [root@FC3-vm mnt]# ls -l file1 -rw-r--r--+ 1 root root 7 Dec 11 00:28 file1

在testu1對應的ACL項的后邊出現了effective的字樣，這是實際testu1得到的權限。Mask只對其他用戶和組的權限有影響，對 owner和other的權限是沒有任何影響的。 執行ls的結果也顯示UGO的設置也有了對應的變化。因為在使用了ACL的情況下，group的權限顯 示的就是當前的mask。通常我們把mask設置成rwx，以不阻止任何的單個ACL項。

需要注意的是，每次修改或添加某個用戶或組的ACL項的時候，mask都會隨之修改以使最新的修改能夠真正生效。所以如果需要一個比較嚴格的mask的話，可能需要每次都重新設置一下mask。

 3. ACL的其他功能：刪除和覆蓋

 何刪除已有的ACL項

[root@FC3-vm mnt]# setfacl -x g:testg1 file1 [root@FC3-vm mnt]# getfacl file1 # file: file1 # owner: root # group: root user::rw- user:testu1:rwx group::r-- mask::rwx other::r--

我們看到testg1的權限已經被去掉了。

 去掉所有的ACL可以用-b選項。所有的ACL項都會被去掉。

[root@FC3-vm mnt]# setfacl -b file1 [root@FC3-vm mnt]# getfacl file1 # file: file1 # owner: root # group: root user::rw- group::r-- other::r--

我們可以用--set 設置一些新的ACL項，並把原有的ACL項全部都覆蓋掉。和-m不同，-m選項只是修改已有的配置或是新增加一些。--set選項會把原有的ACL項都刪除，用新的替代，需要注意的是一定要包含UGO的設置，不能象-m一樣只是添加ACL就可以了。

 --set設置新acl項 

[root@FC3-vm mnt]# setfacl --set u::rw,u:testu1:rw,g::r,o::- file1 [root@FC3-vm mnt]# getfacl file1 # file: file1 # owner: root # group: root user::rw- user:testu1:rw- group::r-- mask::rw- other::---

o::-是另一個需要注意的地方。其實完整的寫法是other::---，正如u::rw的完整寫法是user::rw-。通常我們可以把"-"省略，但是當權限位只包含"-"時，必須至少保留一個。如果寫成了o::，就會出現錯誤。

 對目錄下的所有子目錄都設置同樣的ACL，可以使用-R參數：

[root@FC3-vm mnt]# setfacl --set u::rw,u:testu1:rw,g::r,o::- dir1

 從一個文件來讀入ACL，並修改當前的文件的ACL，可以用-M參數：

[root@FC3-vm mnt]# cat test.acl user:testu1:rw- user:testu2:rw- group:testg1:r-- group:testg2:r-- mask::rw- other::---

 4.目錄的默認ACL

如果我們希望在一個目錄中新建的文件和目錄都使用同一個預定的ACL，那么我們可以使用默認(Default) ACL。在對一個目錄設置了默認的 ACL以后，每個在目錄中創建的文件都會自動繼承目錄的默認ACL作為自己的ACL。用setfacl的-d選項就可以做到這一點：

[root@FC3-vm mnt]# setfacl -d --set g:testg1:rwx dir1 [root@FC3-vm mnt]# getfacl dir1 # file: dir1 # owner: root # group: root user::rwx group::r-x other::r-x default:user::rwx default:group::r-x default:group:testg1:rwx default:mask::rwx default:other::r-x

可以看到默認ACL已經被設置了。建立一個文件試試：

 新建一個文件測試

[root@FC3-vm mnt]# touch dir1/file1 [root@FC3-vm mnt]# getfacl dir1/file1 # file: dir1/file1 # owner: root # group: root user::rw- group::r-x                      #effective:r-- group:testg1:rwx                #effective:rw- mask::rw- other::r--

file1自動繼承了dir1對testg1設置的ACL。只是由於mask的存在使得testg1只能獲得rw-權限。

 5.備份和恢復ACL

主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 參數。但是tar等常見的備份工具是不會保留目錄和文件的ACL信息 的。 如果希望備份和恢復帶有ACL的文件和目錄，那么可以先把ACL備份到一個文件里。以后用--restore選項來回復這個文件中保存的ACL信 息：

[root@FC3-vm mnt]# getfacl -R dir1 > dir1.acl [root@FC3-vm mnt]# ls -l dir1.acl total 16 -rw-r--r--  1 root root   310 Dec 12 21:10 dir1.acl

 用-b選項刪除所有的ACL數據，來模擬從備份中回復的文件和目錄：

[root@FC3-vm mnt]# setfacl -R -b dir1 [root@FC3-vm mnt]# getfacl -R dir1 # file: dir1 # owner: root # group: root user::rwx group::r-x other::r-x # file: dir1/file1 # owner: root # group: root user::rw- group::r-- other::r--

 現在我們從dir1.acl中恢復被刪除的ACL信息：

[root@FC3-vm mnt]# setfacl --restore dir1.acl [root@FC3-vm mnt]# getfacl -R dir1 # file: dir1 # owner: root # group: root user::rwx group::r-x other::r-x default:user::rwx default:group::r-x default:group:testg1:rwx default:mask::rwx default:other::r-x # file: dir1/file1 # owner: root # group: root user::rw- group::r-x                      #effective:r-- group:testg1:rwx                #effective:rw- mask::rw- other::r--

 6.結語

ACL 的引入使得大規模的復雜權限管理可以很容易的在 Linux 上實現。對於 /home 這樣存放大量用戶文件的分區，可以做到更有效的管 理。但是我們也看到在備份工具等方面的欠缺，好在 FC2 中已經開始包含了 star 這樣的支持 ACL 的備份工具，雖然還是 alpha 版。

在單個文件的 ACL 條目的數量上，不同的文件系統有不同的限制。Ext2 和 Ext3 只能支持每個文件 25 個 ACL 條目。ReiserFS 和 JFS 可以支持超過 8,000 個條目。這個方面 Ext* 文件系統還需要加強。

無論多么復雜的系統中，文件系統的權限管理都是最基礎的內容。而 Linux 對 ACL的支持，無疑是一把管理海量用戶系統的利器，對 Linux 在大規模的企業級應用中更方便的發揮更大的作用添了一把火。

 mask

acl權限中有個"mask"的選項，它就是ACL權限的最大權限，現在是rwx，當你設置某個用戶或組的 ACL權限時，要跟mask的權限“相與”之后產生的權限才是該用戶的最終權限，也就是加入mask的最大權限是rx,但是你給st用戶設置的是rwx權 限，此時st用戶它的權限只有rx的權限，因為與最大權限“相與”得出的結果就是rx。
如果說ACL的優先級高於UGO，那么mask就是一個名副其實的最后一道防線。它決定了一個用戶/組能夠得到的最大的權限。這樣我們在不改變已有ACL的定義的基礎上，可以臨時提高或是降低安全級別：

zhou@zhou-desktop:~/Temp$ setfacl -m mask::r aclTest/ zhou@zhou-desktop:~/Temp$ getfacl aclTest/ # file: aclTest # owner: zhou # group: zhou user::rwx user:guest:rwx                #effective:r-- group::r-x                      #effective:r-- group:guest:rwx              #effective:r-- mask::r-- other::r-x

可以看到，在我們將mask訪問權限設置為只讀時，mask行以上的ACL權限，除文件所有者外，都變成了只讀，即#effective:r--所 標識的實際權限。這就為臨時改變整體權限和迅速恢復提供了便利。mask只對其他用戶和組的權限有影響，對owner和other的權限是沒有任何影響 的。在使用了ACL的情況下，group的權限顯示的就是當前的mask。通常我們把mask設置成rwx，以不阻止任何的單個ACL項到此為止。