Linux文件權限與屬性詳解 之 ACL

Linux文件權限與屬性詳解 之 一般權限
Linux文件權限與屬性詳解 之 ACL
Linux文件權限與屬性詳解 之 SUID、SGID & SBIT
Linux文件權限與屬性詳解 之 chattr & lsattr
Linux文件權限與屬性詳解 之 su & sudo

ACL權限

1. 什么是ACL

ACL(Access Control List)，訪問控制列表。
那么這玩意有啥用處呢？下面我們考慮一種場景：

假設我Jimmy創建了一個項目文件夾，我和我的開發團隊Rocket對該目錄均具備 rwx 的權限，因為我該文件夾下有源碼等，不能對外開放，所以對其他用戶的權限為0，即我的文件夾目錄為 drwxrwx---;
然而有一天，我的一個灰常好的盆友Sherry想要看一下我的項目，看看我寫的代碼有多流弊，然而我不好意思拒絕，這個時候我有三種選擇：

1. 讓其成為所有者(這個當然不可能)
2. 讓其成為項目組成員(然而她並沒有參與開發，再說她也基本看不懂代碼，萬一不小心刪掉了部分代碼咋弄？)
3. 給其它人賦以 r-x 的權限(然而，other用戶太多了吧，萬一我代碼沒發布就被競爭對手給copy了呢？)
   看來，以上三種手段都不靠譜啊，怪就怪other的用戶全太大了，唉，這可咋整？

那么，我們為什么不為Sherry開小灶呢？就是讓其不屬於任何一個組，只是以單用戶的身份被賦予特定權限。
這種“開小灶”的方式，其實就是ACL權限！

ACL可以針對單一用戶、單一文件或目錄來進行r、w、x的權限設置，對於需要特殊權限的使用狀況非常有幫助

2. ACL的操作

0). 查看系統是否支持ACL

首先，我們看一下自己的Linux系統存在着那些硬盤：

[niesh@niesh ~]$ df -Th 文件系統 類型 容量 已用 可用 已用% 掛載點 /dev/mapper/centos_niesh-root xfs 18G 8.5G 9.1G 49% / devtmpfs devtmpfs 348M 0 348M 0% /dev tmpfs tmpfs 363M 84K 363M 1% /dev/shm tmpfs tmpfs 363M 5.5M 358M 2% /run tmpfs tmpfs 363M 0 363M 0% /sys/fs/cgroup /dev/sda1 xfs 497M 158M 339M 32% /boot .host:/ vmhgfs 271G 42G 229G 16% /mnt/hgfs tmpfs tmpfs 73M 16K 73M 1% /run/user/42 tmpfs tmpfs 73M 0 73M 0% /run/user/1000

根目錄(/)的掛載點此處為/dev/mapper/centos_niesh-root，我們可以查看其是否支持ACL權限

[root@niesh ~]# dumpe2fs -h /dev/centos_niesh/root dumpe2fs 1.42.9 (28-Dec-2013) dumpe2fs: Bad magic number in super-block 當嘗試打開 /dev/centos_niesh/root 時 找不到有效的文件系統超級塊.

很郁悶，居然報這個錯誤，查了很多資料，發現dumpe2fs命令為ext文件系統家族的命令，我的系統為CentOS7，文件系統為XFS，XFS默認支持ACL：

[root@niesh ~]# lsb_release -a LSB Version: :core-4.1-amd64:core-4.1-noarch:cxx-4.1-amd64:cxx-4.1-noarch:desktop-4.1-amd64:desktop-4.1-noarch:languages-4.1-amd64:languages-4.1-noarch:printing-4.1-amd64:printing-4.1-noarch Distributor ID: CentOS Description: CentOS Linux release 7.2.1511 (Core) Release: 7.2.1511 Codename: Core [root@niesh ~]# df -Th 文件系統 類型 容量 已用 可用 已用% 掛載點 /dev/mapper/centos_niesh-root xfs 18G 8.5G 9.1G 49% /

可以使用 xfs_info /dev/xxx查看'XFS`文件系統信息：

[root@niesh ~]# xfs_info /dev/centos_niesh/root meta-data=/dev/mapper/centos_niesh-root isize=256 agcount=4, agsize=1144832 blks = sectsz=512 attr=2, projid32bit=1 = crc=0 finobt=0 data = bsize=4096 blocks=4579328, imaxpct=25 = sunit=0 swidth=0 blks naming =version 2 bsize=4096 ascii-ci=0 ftype=0 log =internal bsize=4096 blocks=2560, version=2 = sectsz=512 sunit=0 blks, lazy-count=1 realtime =none extsz=4096 blocks=0, rtextents=0

但是，貌似看不到是否支持ACL權限，我也只能這樣了 （誰知道怎么查看請留言告訴我，不勝感激） ！

1). 安裝ACL

系統默認的是不會安裝ACL權限的，因此需要我們自己動手：

• RPM 包：
  前提：能夠獲取到系統安裝包
  命令：rpm -ivh libacl-x.x.xx-x.x acl-x.x.xx-x.x.rpm
• yum:
  前提：主機已經聯網，且yum可用
  命令：yum -y insatll libacl acl

2). 開啟ACL

首先，我們查看一下我們Linux系統的ACL權限有沒有開啟：
使用 mount命令：

[root@niesh ~]# mount
/dev/mapper/centos_niesh-root on / type xfs (rw,relatime,seclabel,attr2,inode64,noquota) selinuxfs on /sys/fs/selinux type selinuxfs (rw,relatime) systemd-1 on /proc/sys/fs/binfmt_misc type autofs (rw,relatime,fd=34,pgrp=1,timeout=300,minproto=5,maxproto=5,direct)

很明顯，/dev/mapper/centos_nie-root沒有ACL權限，我們需要自己手動開啟。
開啟的方式有兩種：

• 命令開啟
  命令： mount -o remount,acl /
  特點：臨時性，重啟失效
• 文件開啟
  命令： vim /etc/fstab
  特點：永久開啟

完成修改后，需要重啟或者重新掛載你設置的分區，此處我需要重新掛載根分區：

• 掛載： mount -o remount /
• 重啟： restart

3). ACL文件設置

最常用的有以下2個命令：

• getfacl: 獲取文件或目錄的ACL設置信息
  命令： getfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
  參數：

  -a , --access：顯示文件或目錄的訪問控制列表
  -d , --default：顯示文件或目錄的默認（缺省）的訪問控制列表
  -c , --omit-header：不顯示默認的訪問控制列表
  -R , --recursive：操作遞歸到子目錄

• setfacl: 設置文件或目錄的ACL設置信息
  命令：setfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
  參數：

  -m, --modify=acl：修改文件或目錄的擴展ACL設置信息
  -x, --remove=acl：從文件或目錄刪除一個擴展的ACL設置信息
  -b, --remove-all：刪除所有的擴展的ACL設置信息
  -k, --remove-default：刪除缺省的acl設置信息
  -n, --no-mask：不要重新計算有效權限。setfacl默認會重新計算ACL mask，除非mask被明確的制定
  -d, --default：設置默認的ACL設置信息（只對目錄有效）
  -R, --recursive：操作遞歸到所有子目錄和 文件

針對我們最開始討論問題，此處我們進行實戰練習。
首先，我建立一個目錄Project：

[niesh@niesh tmp]$ mkdir -m 770 Project [niesh@niesh tmp]$ ll 總用量 0 drwxrwx---. 2 niesh niesh 6 7月 28 15:44 Project

其次，我增加一個新用戶叫做Sherry：

[root@niesh ~]# useradd Sherry [root@niesh ~]# passwd Sherry [root@niesh ~]# 

再次，查看我和Sherry分別屬於哪一個組：

[root@niesh ~]# groups Sherry Sherry : Sherry [root@niesh ~]# groups niesh niesh : niesh wheel

很明顯我倆不屬於同一個組，因此Sherry對我建立的 Project 目錄不具備任何權限：

[Sherry@niesh tmp]$ cd Project/ bash: cd: Project/: 權限不夠 [Sherry@niesh tmp]$ ^C [Sherry@niesh tmp]$ ll Project/ ls: 無法打開目錄Project/: 權限不夠

然后，我增加Sherry的ACL權限：

[niesh@niesh tmp]$ setfacl -m u:Sherry:rx Project/ [niesh@niesh tmp]$ ll 總用量 4 drwxrwx---+ 2 niesh niesh 6 7月 28 15:44 Project

看到了吧，以上權限第11位有一個 + 號，代表的就是ACL權限

4). 查看ACL權限

我們可以使用 getfacl命令查看剛才設置好的權限：
設置之前：

[niesh@niesh tmp]$ getfacl Project/
# file: Project/ # owner: niesh # group: niesh user::rwx group::rwx other::---

設置之后：

[niesh@niesh tmp]$ getfacl Project/
# file: Project/ # owner: niesh # group: niesh user::rwx user:Sherry:r-x group::rwx mask::rwx other::---

多了幾行：

• user:Sherry:r-x: 表示Sherry具備的ACL權限為 r-x
• mask::rwx: 表示ACL的最大權限，用你分配給用戶的權限與mask相與（類似於子網掩碼）

5). 刪除ACL

采用 setfacl -d <dir>命令：

[niesh@niesh tmp]$ setfacl -b Project/
[niesh@niesh tmp]$ ll
總用量 0 drwxrwx---. 2 niesh niesh 6 7月 28 15:44 Project [niesh@niesh tmp]$ getfacl Project/ # file: Project/ # owner: niesh # group: niesh user::rwx group::rwx other::---

刪除我剛才建立的Sherry用戶：

[root@niesh ~]# userdel -r Sherry [root@niesh ~]# cat /etc/passwd