企业linux平台中用户权限管理机制
linux关于权限的简单了解
1.文件权限存在的意义
系统最底层安全设定方法之一
保证文件可以被可用的用户做相应的操作
2.文件权限的查看
ls -l file ##查看文件权限
ls -ld dir ##查看目录权限
ll file ##查看文件权限
ll -d dir ##查看目录权限
3.文件权限的读取
- |rw-rw-r--|1|kiosk|kiosk|0|jul 21 09：18|file
[1] [2] [3] [4] [5] [6] [7] [8]
| 字符 | 含义 |
|---|---|
| - | 空文件，或者文本 |
| d | 目录 |
| l | 软连接 |
| s | socket 套接字 |
| b | block 块设备 |
| c | 字符设备 |
[2]：文件的权限
rw-|rw-|r--
1 2 3
1:[u] 文件拥有者对文件能做什么操作
2:[g] 文件所有组对文件能做什么操作
3:[o] 其他人对文件能做什么操作
[3]：
对文件：文件硬链接个数（文件内容被记录的次数）
对目录：目录中子目录的个数
[4]：文件所有人
[5]：文件所有组
[6]：
对文件：文件的大小
对目录：目录中子文件元数据（matedate可以理解为文件的属性）大小
[7]：文件的内容被修改的时间
[8]：文件的名称
4.如何改变文件所有人和所有组
chown|chgrp
chown user.group file|dir ##改变文件或目录的所有人（+所有组）
chown -R user.group dir ##改变目录本身的所有人（+所有组）及里面的文件属性
chgrp group file|dir ##改变文件或目录的组
chgrp -R group dir ##改变目录的组及里面的文件的组
注意：在更改目录里的文件时，不管目录文件是否为一个，文件的属性改变后，原目录的属性不变。
5.如何改变文件的权限
1.对权限的理解
r
对文件：是否可以查看文件中的内容（cat file）
对目录：是否可以查看目录中有什么子文件或者子目录（ls dir）
w
对文件：是否可以改变文件里面记录的字符
对目录：是否可以对目录中子目录或者子文件的元数据进行更改
x
对文件：是否可以通过文件名称调用文件内记录的程序
对目录：是否可以进入目录
2.更改方式
chmod <+|-|=> file|dir
chmod u+x file|dir
chmod g-r file|dir
chmod uo-r file|dir
chmod u+r,g+x file|dir
chmod -x file|dir
chmod o=rwx file|dir
##对目录操作时，命令如“chmod u+x -R dir“可以改变目录及里面文件的属性
##w的特殊性，在使用chmod +w file|dir 时默认只加使用者的w权限，不包括可执行。
r w x
^ ^ ^
2 1 0
r=2的2次方=4
w=2的1次方=2
x=2的0次方=1
例：
r-x|r--|--x
5 4 1
chmod 541 /mnt/file1
| 数字 | 表示 |
|---|---|
| 7 | rwx |
| 6 | rw- |
| 5 | r-x |
| 4 | r- - |
| 3 | -wx |
| 2 | -w- |
| 1 | - -x |
| 0 | - - - |
在我们建立文件或者目录时系统默认的权限分别为644和755，但不同的文件系统预留的权限不同，如下图
6.umsak
umask ##系统建立文件时默认保留的权力
umask 077 ##临时设定系统预留权限为077
永久更改umask
方法：
vim /etc/profile ##系统配置文件
59 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
60 umask 002 ##普通用户的umask
61 else
62 umask 022 ##超级用户的umask
63 fi
vim /etc/bashrc ##shell配置文件
70 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
71 umask 002
72 else
73 umask 022
74 fi
注意：系统配置文件和shell配置文件更改的umask值必须相同
source /etc/profile ##让更改立即生效
7.特殊权限
1.sticky
##粘制位
作用
只针对目录生效，当一个目录上有sticky权限时在这个目录中的文件只能被文件的所有者删除
设定方式：
chmod o+t dir
chmod 1xxx dir
2.sgid
##强制位
作用
对文件：只针对与二进制可执行文件
当文件上有sgid时任何人执行此文件产生的进程都属于文件的组
对目录：当目录上有sgid权限时任何人在此目录中建立的文件都属于目录的所有组
设定方式：
chmod g+s file|dir
chmod 2xxx file|dir
3.suid
##冒险位
作用
只针对与二进制可执行文件
当文件上有suid时任何人执行这个文件中记的程序产生的进程都属于文件的所有人
设定方式：
chmod u+s file
chmod 4xxx file
8.acl权限列表
1.作用
让特定的用户对特定的文件拥有特定的权限
2.acl列表查看
-rw-rwxr--+ 1 root root 0 Jul 21 15:45 file
^
acl开启
getfacl file ##查看acl开启的文件的权限
#file:file ##文件名称
#owner:root ##文件拥有者
#group:root ##文件拥有组
user:rw- ##文件拥有人的权限
user:kiosk:rwx ##指定用户的权限
group::r-- ##文件拥有组的权力
mask::rwx ##能赋予用户的最大权力伐值
other::r-- ##其他人的权限
注意：有加号时用getfacl file查看权限，用ls命令查看的权限是错误的。
3.acl列表的管理
getfacl file
setfacl -m u:username:rwx file ##设定username对file拥有rwx权限
setfacl -m g:group:rwx file ##设定group组成员对file拥有rwx权限
setfacl -x u：username file ##从acl列表中删除username
setfacl -b file ##关闭file上的acl列表
4.mask值
在权限列表中mask表示能生效的权力值
当用chmod减小开启acl的文件权限时mask值会发生改变
chmod g-w one
注意：chmod g-w file命令不管group权限有没有w都会减掉mask的w权限
但是如果user上有w权限，使用chmod u-w命令时只会减掉user的w权限，
不会减掉mask的w权限
如果要恢复mask值
setfacl -m m:rwx one
5.acl的默认权限设定
acl默认权限只针对目录设定
“acl权限只针对设定完成之后新建立的文件或者目录生效，而已经存在的文件是不会继承默认权限“
setfacl -m d:u:student:rwx /mnt/one
setfacl -k /mnt/one
