命令（6个）
chmod,chown,chgrp，setfacl,getfacl，umask
11.1.chmod
功能：改变文件权限
这一命令有符号模式和绝对模式
符号模式：
语法：chmod [who] operator [permission] filename
who的含义是：
u 文件属主权限。
g 属组用户权限。
o 其他用户权限。
a 所有用户(文件属主、属组用户及其他用户)。
operator的含义：
+ 增加权限。
- 取消权限。
= 设定权限。
permission的含义：
r 读权限。
w 写权限。
x 执行权限。
s 文件属主和组set-ID。
t 粘性位*。
l 给文件加锁，使其他用户无法访问。
u,g,o 针对文件属主、属组用户及其他用户的操作。
示例：
[root@localhost scripts]# chmod a+x test.txt #添加所有的执行权限 [root@localhost scripts]# ll test.txt -rwxr-xr-x 1 root root 276 Jun 26 18:39 test.txt [root@localhost scripts]# chmod a-x test.txt #收回所有命令的执行权限 [root@localhost scripts]# ll test.txt -rw-r--r-- 1 root root 276 Jun 26 18:39 test.txt [root@localhost scripts]# chmod og-w test.txt #收回属组用户和其他用户的写权限 [root@localhost scripts]# ll test.txt -rw-r--r-- 1 root root 276 Jun 26 18:39 test.txt [root@localhost scripts]# chmod g+w test.txt #赋予属组用户写权限 [root@localhost scripts]# chmod u+x test.txt #赋予文件属主执行权限 [root@localhost scripts]# chmod go+x test.txt #赋予属组用户和其他用户执行权限
11.2.chown
功能：变更文件或目录的拥有者或所属群组。
语法：chomd -R -h owner file
常用选项：
-c或--changes 效果类似"-v"参数，但仅回报更改的部分。
-f或--quite或--silent 不显示错误信息。
-h或--no-dereference 之对符号连接的文件作修改，而不更动其他任何相关文件。
-R或--recursive 递归处理，将指定目录下的所有文件及子目录一并处理。
-v或--version 显示指令执行过程。
--dereference 效果和"-h"参数相同。
--help 在线帮助。
--reference=<参考文件或目录> 把指定文件或目录的拥有者与所属群组全部设成和参考文件或目 录的拥有者与所属群组相同。
示例：
[root@localhost scripts]# ll test.txt -rwxrwxr-x 1 root root 276 Jun 26 18:39 test.txt [root@localhost scripts]# chown user001 test.txt [root@localhost scripts]# ll test.txt -rwxrwxr-x 1 user001 root 276 Jun 26 18:39 test.txt
11.3chgrp
功能：变更文件或目录的所属群组
语法：chgrp [-cfhRv][--help][--version][所属群组][文件或目录...]
常用选项：
-c或--changes 效果类似"-v"参数，但仅回报更改的部分。
-f或--quiet或--silent 不显示错误信息。
-h或--no-dereference 只对符号连接的文件作修改，而不更动其他任何相关文件。
-R或--recursive 递归处理，将指定目录下的所有文件及子目录一并处理。
--reference=<参考文件或目录>
示例：
[root@localhost scripts]# ll test.txt -rwxrwxr-x 1 user001 root 276 Jun 26 18:39 test.txt [root@localhost scripts]# chgrp group1 test.txt [root@localhost scripts]# ll test.txt -rwxrwxr-x 1 user001 group1 276 Jun 26 18:39 test.txt
11.4.umask
功能：遮罩权限
root用户：
默认创建目录的权限：755
默认创建文件的权限：644
普通用户：
默认创建目录的权限：775
默认创建文件的权限：664
umask 查看当前用户的默认权限
root：
umask
0022
普通用户：
uamsk
0002
目录的最大权限：777
文件的最大权限：666
root：
目录的默认权限=0777-umask=0777-0022=0755
文件的默认权限=0666-umask=0666-0022=0644
普通用户：
目录的默认权限=0777-umask=0777-0002=0775
文件的默认权限=0666-umask=0666-0002=0664
更改用户的默认权限： 临时更改： umask 0002 只在当前终端生效 永久生效： vim ～/.bashrc 当前用户家目录里的文件（局部变量） .. umask 0002 # source ~/.bashrc 立刻马上读取文件内容（让其马上生效） # . ~/.bashrc vim /etc/bashrc 针对所有用户（全局） ... umask 0066 . ~/.bashrc 说明： 当局部变量和全局变量冲突，以局部为准
练习：
1、创建一个文件test，要求它实现user001只读,user002,user003可读可写,user004,user005可读可执行
[root@localhost scripts]# usermod -g group1 user002 [root@localhost scripts]# usermod -g group1 user003 [root@localhost scripts]# id user002 uid=601(user002) gid=10015(group1) groups=10015(group1) [root@localhost scripts]# id user003 uid=602(user003) gid=10015(group1) groups=10015(group1) [root@localhost scripts]# touch test [root@localhost scripts]# ll test -rw-r--r-- 1 root root 78184 Jun 27 14:06 test [root@localhost scripts]# chown user001:group1 test [root@localhost scripts]# ll test -rw-r--r-- 1 user001 group1 0 Jun 27 14:28 test [root@localhost scripts]# chmod u-w,g+w,o+x test [root@localhost scripts]# ll test -r--rw-r-x 1 user001 group1 0 Jun 27 14:28 test
2.什么情况下才能删除一个文件或目录?
答:跟这个文件或目录本身的权限无关，跟你对它们的上一级目录是否有写权限和执行全有关。你对一个目录有写权限和执行权限，你就可以删除这个目录里任何文件
例子
[root@localhost ~]# ll -d test #可读可执行 drwxr-xr-x 2 root root 4096 Dec 21 18:54 test [root@localhost ~]# chown .group1 test [root@localhost ~]# id user002 uid=601(user002) gid=10015(group1) groups=10015(group1) [user002@localhost home]$ ll test total 0 -rw-r--r-- 1 root group1 0 Dec 21 18:58 123 user002@localhost test]$ rm -f 123 rm: cannot remove `123': Permission denied 说明：可读可执行是无法删除 [root@localhost ~]# ll -d /home/test #增加w，去掉x权限 drwxrw-r-x 3 root group1 4096 Dec 21 18:58 /home/test [user002@localhost home]$ cd test #无执行权限，是进不了文件，进不了文件夹，怎么删除文件 -bash: cd: test: Permission denied [user002@localhost home]$ rm -f test/123 rm: cannot remove `test/123': Permission denied [root@localhost ~]# ll -d /home/test #去掉r，保留wx drwx-wxr-x 3 root group1 4096 Dec 21 19:17 /home/test [user002@localhost test]$ ll ls: cannot open directory .: Permission denied [user002@localhost test]$ rm -f 123 说明：没有只读权限，但是用户有wx，就能进入文件夹，删除文件
3.请问下面的情况，我一个普通用户能否删除/test/abc这个子目录
# ll -d /test drwxr-xrwx. 3 root root 12288 Jul 16 17:42 /test # ll /test drwxr-xr-x. 2 root root 4096 Jul 16 17:40 abc [user001@localhost ~]$ rm -rf /home/test/abc 答案:可以删除，因为普通现在不属于属主，也不属于属组，那就只能属于其他人了；而test权限的o位是7的权限，可写可执行，就能删掉abc
4、什么情况下修改了一个文件才需要强制保存，什么情况下能够成功强制保存？
解答：
情况1：目录有可读可写权限，文件只有只读权限（普通用户）
[root@localhost ~]# ll -d /home/test
drwxrw--wx 3 root group1 4096 Dec 22 16:20 /home/test
[root@localhost ~]# ll /home/test
total 0
-rw-rw-r-- 1 root group1 0 Dec 21 19:24 123
[user002@localhost ~]$ vim /home/test/123
"/home/test/123" E212: Can't open file for writing #不能写也不能强制保存
情况2：目录有可读可写权限，文件可读可写（普通用户）
[root@localhost ~]# ll -d /home/test
drwxrw--wx 3 root group1 4096 Dec 22 16:20 /home/test
[root@localhost ~]# ll /home/test
total 0
-rw-rw-r-- 1 root group1 0 Dec 21 19:24 123
[user002@localhost ~]$ vim /home/test/123 #还是不能强制保存
情况3：目录有可读可写权限，文件可读可写可执行（普通用户）
[root@localhost ~]# ll -d /home/test
drwxrw--wx 3 root group1 4096 Dec 22 16:20 /home/test
[root@localhost ~]# ll /home/test
total 4
-rwxrw-rwx 1 root group1 4 Dec 22 17:04 123
[user002@localhost ~]$ cat /home/test/123
my
说明：这种情况不需要强制就能保存
情况4：目录有可读可写权限，文件可写可执行（普通用户）
[root@localhost ~]# ll /home/test
total 4
-rwxrw--wx 1 root group1 3 Dec 22 17:10 123
说明：不需要强制就能保存
情况3：目录有可读可写可执行权限，文件可读（普通用户）
[root@localhost ~]# ll -d /home/test
drwxrwx-wx 3 root group1 4096 Dec 22 16:20 /home/test
[root@localhost ~]# ll /home/test
total 0
-rw-r--r-- 1 root group1 0 Dec 21 19:24 123
[user002@localhost ~]$ vim /home/test/123
[user002@localhost ~]$ cat /home/test/123
yyl
说明：对一个文件有只读权限，对目录有读写执行权限，强制保存没问题，并且保存后，文件属主属组都变了当前用户
情况4:
答案:如果你对一个文件没有写权限，那么修改后，要保存就会出现强制保存的选项；
虽然你对这个文件没有写权限，但如果你对文件所在的上一级目录有写权限，则可以强制保存成功，并且保存后，把文件的owner和group属性改成了你自己
如果对上一级目录没有写权限，则不可以强制保存；但也有一个例外，就是如果这个文件的owner就是你，那么你对它没有写权限，对它上级目录也没写权限，也可以强制保存成功
11.5.特殊权限（s，t）
s位叫特权位，英文的叫法有setuid，setgid，suid,sgid等
1）冒险位（setuid）：4000 u+s 临时拥有文件拥有者的权限，作用在属主身上，一般针对命令。皇帝临时给一个用户一个尚方宝剑.只针对前三位
对目录可以加，但是无效，因为目录不是命令，根本不能执行它
demo：
# chmod u+s /usr/bin/vim
# ll /usr/bin/vim
-rwsr-xr-x. 1 root root 1967072 Feb 17 2012 /usr/bin/vim
# chmod 0766 /usr/bin/vim
[root@node1 Desktop]# ll /usr/bin/vim
-rwxrw-rw-. 1 root root 1967072 Feb 17 2012 /usr/bin/vim
小实验:
1,测试passwd命令的s位，去掉其s位，普通用户就不能自己改自己密码了，加上s位就可以了
2，/bin/touch这个命令是没有s位的，你可以尝试加上s位，然后用普通用户touch文件，观察效果。做完测试后，记得改回来也就是把s位去掉
3，普通用户能关机吗？怎么让普通用户关机
可以对关机命令加s位来让普通用户能关机，在rhel6下测试reboot,shutdown可以这样做,init不能这样做
这只是一个理论讨论，实际情况不会这么做的
2）强制位（setgid）：2000 g+s 针对目录，任何人在该目录下创建的文件或目录强制继承父目录的属组。强制继承家族企业。中间三位
demo：
chmod g+s dir1
chmod 2755 dir1
测试验证
# ll -d
drwxr-sr-x. 5 u01 sysadmin 4096 Apr 6 11:24 .
3）粘制位 ：1000 o+t 针对公共目录，在该目录下的文件只有root和文件的拥有者可以删除，其他人不能删除。自己管理自己
demo：
# chmod 1777 dir2
drwxrwxrwt. 2 root root 4096 Apr 6 10:33 dir2
# ll -d /tmp
drwxrwxrwt. 24 root root 4096 Apr 6 11:16 /tmp
s位和t位注意的地方：
用数字表示
前三位上加s 4
中间三位加s 2
后三位加t 1
chmod 1777 /tmp
s位和t位大小写的区别
小写的话就表示 有x执行权限
大写的话就表示 没有x执行权限
设置文件的特殊属性
chattr +i 不能删除，改名，修改 chattr -i
chattr +a 只能追加内容
lsattr 显示特定属性
11.6.acl访问控制策略
ACL:Access Control List ，实现灵活的权限管理
除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
ACL生效顺序：所有者，自定义用户，自定义组，其他人
setfacl：
-R：递归授权，对目录下已经存在的文件有acl策略，但是新建的文件没有acl策略
-d：递归授权，对目录下新建的文件有acl策略，老文件没有
-m：修改acl策略
-x：删除某个用户的权限
-b：删除所有的acl策略
-mask：设置除了其他人和拥有者以外的最大权限
下面我们再来继续看一个例子
假如现在我们设置test.sh的mask为read only,那么family组的用户还会有write 权限吗?
通过实例来了解 为多用户或者组的文件和目录赋予访问权限rwx
示例：
// 查看文件或者目录的ACL权限 使用 getfacl FILE|DIR
[root@localhost scripts]# getfacl 100.sh
# file: 100.sh
# owner: root
# group: root
user::rw-
group::r--
other::r--
//给文件100.sh加上mage的运行权限
[root@localhost scripts]# setfacl -m u:user_00:w 100.sh
//可以发现，在权限位的后面加上了一个加号，这就说明该文件被赋予了ACL权限
[root@localhost scripts]# ll 100.sh
-rw-rw-r--+ 1 root root 660 Sep 21 14:09 100.sh
// 查看100.sh的ACL权限
[root@localhost scripts]# getfacl 100.sh
# file: 100.sh
# owner: root
# group: root
user::rw-
user:user_00:-w-
group::r--
mask::rw-
other::r--
//如果此时user_00用户去读100.sh文件，他是不能读取的。
//指定admins组里的成员对100.sh文件有读写权限
[root@localhost scripts]# setfacl -m g:admin:rw 1001.sh
[root@localhost scripts]# getfacl 1001.sh
# file: 1001.sh
# owner: root
# group: root
user::rw-
group::r--
group:admin:rw-
mask::rw-
other::r--
//此时user_00用户可以对1001.sh文件机型写入吗
//切换到user_00用户
[user_00@localhost ~]$ echo helloworld >> /server/scripts/1001.sh
//下面这些命令可以自己尝试一下
setfacl -m u:wang:rwx file|directory
setfacl -Rm g:sales:rwX directory //递归
setfacl -M file.acl file|directory //增加权限
setfacl -m g:salesgroup:rw file| directory
setfacl -m d:u:wang:rx directory //设置目录的默认权限
setfacl -x u:wang file |directory
setfacl -X file.acl directory 删除权限
//增加权限和删除权限的文件格式是不一样的。
//定义一个文件用来增加权限
[root@localhost scripts]# nano file.acles
//先看一下f1的ACl
[root@localhost scripts]# getfacl f1
# file: f1
# owner: root
# group: root
user::rw-
group::r--
other::r--
//给file.acles增加权限
u:mage:rwx
g:admins:rw
[root@localhost scripts]# setfacl -m u:user_00:rwx file.acles
[root@localhost scripts]# setfacl -m g:admin:rw file.acles
//执行修改权限命令
[root@localhost scripts]# setfacl -M file.acles f1
setfacl: Invalid argument in line 1 of file file.acles #这里报错，需要在研究下
[root@localhost scripts]# setfacl -x u:user_00 file.acles
[root@localhost scripts]# getfacl file.acles
# file: file.acles
# owner: root
# group: root
user::rw-
group::r--
group:admin:rw-
mask::rw-
other::r--
ACL mask 值
一个文件的权限通常涉及到哪几类用户。 属主，属组，自定义用户，自定义组，Other，一共五类使用者。 而ACL就是对这五类用户的权限进行控制 。
ACL文件上的group权限是mask 值（自定义用户，自定义组，拥有组的最大权限）,而非传统的组权限
[root@localhost scripts]# getfacl f1
# file: f1
# owner: root
# group: root
user::rw-
user:user_00:rwx
group::r--
group:admin:rw-
mask::rwx
other::r--
//设置文件的mask值位 r--
[root@localhost scripts]# setfacl -m mask::r-- f1
[root@localhost scripts]# getfacl f1
# file: f1
# owner: root
# group: root
user::rw-
user:user_00:rwx #effective:r--
group::r--
group:admin:rw- #effective:r--
mask::r--
other::r--
设置mask值之后我们会发现，自定义用户，自定义组，以及默认的属组，都被mask值限定住了。
可以将mask值理解为最高权限，除了所有者，Other之外，其他的都在mask 的管辖之内。
getfacl 可看到特殊权限：flags
通过ACL赋予目录默认x权限，目录内文件也不会继承x权限
base ACL 不能删除
setfacl -k dir 删除默认ACL权限
setfacl –b file1清除所有ACL权限
getfacl file1 | setfacl –set-file=- file2 复制file1的acl权限给file2
//getfacl 可看到特殊权限：flags
//如果一个文件或目录设置特殊权限，SGID,SUID,Sticky
# file: dir
# owner: root
# group: root
# flags: -s-
user::rwx
group::r-x
other::r-x
mask只影响除所有者和other的之外的人和组的最大权限Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)
用户或组的设置必须存在于mask权限设定范围内才会生效
setfacl -m mask::rx file
–set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
示例： setfacl –set u::rw,u:wang:rw,g::r,o::- file1
练习一：
1、root用户新建目录/tmp/common，要求目录的所属组为tom
# mkdir /tmp/common
前提是有tom组
# chgrp tom /tmp/common/
或者
# chown .tom /tmp/common/
2、是否允许tom用户在/tmp/common下创建文件tomfile？如果不允许，怎么才能让它创建文件？
不允许，给属组一个w权限
chmod g+w /tmp/common
3、用户jack如果想修改tomfile文件，怎么做？
chmod o+w tomfile
或者
usermod -G tom jack
或者
gpasswd -a jack tom（组）
或者
setfacl -m u:jack:rw tomfile
练习二：
1、以普通用户user01身份登录，新建目录/shared/sysadmin，并且属于sysadmin组
# su - user01
$ mkdir /shared/sysadmin -p
# setfacl -m u:user01:rwx /
# chgrp sysadmin /shared/sysadmin
2、要求组成员有读写访问的权限，其他成员没有任何权限
[root@node1 home]# ll -d /shared/sysadmin/-x
drwxrwxr-x. 2 user01 sysadmin 4096 Apr 6 14:44 /shared/sysadmin/
[root@node1 home]# chmod o=--- /shared/sysadmin/
[root@node1 home]# ll -d /shared/sysadmin/
3、要求组成员不可以删除属于其他成员的文件
# ll -d /shared/sysadmin/
drwxrwx--T. 2 user01 sysadmin 4096 Apr 6 14:44 /shared/sysadmin/
4、要求在/shared/sysadmin下面创建的文件全部属于sysadmin组
# ll -d /shared/sysadmin/
drwxrws--T. 2 user01 sysadmin 4096 Apr 6 14:44 /shared/sysadmin/
5、要求harry可写，natash不能读写
# setfacl -m u:harry:rwx /shared/sysadmin/
# setfacl -m u:natash:--- /shared/sysadmin/