系统最底层安全设定方法之一
保证文件可以被可用的用户做相应的操作
ls -l file ##查看文件权限
ls -ld dir ##查看目录权限
ll file ##查看文件权限
ll -d dir ##查看目录权限
- |rw-rw-r--|1|kiosk|kiosk|0|jul 21 09:18|file
[1] [2] [3] [4] [5] [6] [7] [8]
字符 | 含义 |
---|---|
- | 空文件,或者文本 |
d | 目录 |
l | 软连接 |
s | socket 套接字 |
b | block 块设备 |
c | 字符设备 |
[2]:文件的权限
rw-|rw-|r--
1 2 3
1:[u] 文件拥有者对文件能做什么操作
2:[g] 文件所有组对文件能做什么操作
3:[o] 其他人对文件能做什么操作
[3]:
对文件:文件硬链接个数(文件内容被记录的次数)
对目录:目录中子目录的个数
[4]:文件所有人
[5]:文件所有组
[6]:
对文件:文件的大小
对目录:目录中子文件元数据(matedate可以理解为文件的属性)大小
[7]:文件的内容被修改的时间
[8]:文件的名称
chown|chgrp
chown user.group file|dir ##改变文件或目录的所有人(+所有组)
chown -R user.group dir ##改变目录本身的所有人(+所有组)及里面的文件属性
chgrp group file|dir ##改变文件或目录的组
chgrp -R group dir ##改变目录的组及里面的文件的组
注意:在更改目录里的文件时,不管目录文件是否为一个,文件的属性改变后,原目录的属性不变。
r
对文件:是否可以查看文件中的内容(cat file)
对目录:是否可以查看目录中有什么子文件或者子目录(ls dir)
w
对文件:是否可以改变文件里面记录的字符
对目录:是否可以对目录中子目录或者子文件的元数据进行更改
x
对文件:是否可以通过文件名称调用文件内记录的程序
对目录:是否可以进入目录
chmod <+|-|=> file|dir
chmod u+x file|dir
chmod g-r file|dir
chmod uo-r file|dir
chmod u+r,g+x file|dir
chmod -x file|dir
chmod o=rwx file|dir
##对目录操作时,命令如“chmod u+x -R dir“可以改变目录及里面文件的属性
##w的特殊性,在使用chmod +w file|dir 时默认只加使用者的w权限,不包括可执行。
r w x
^ ^ ^
2 1 0
r=2的2次方=4
w=2的1次方=2
x=2的0次方=1
例:
r-x|r--|--x
5 4 1
chmod 541 /mnt/file1
数字 | 表示 |
---|---|
7 | rwx |
6 | rw- |
5 | r-x |
4 | r- - |
3 | -wx |
2 | -w- |
1 | - -x |
0 | - - - |
在我们建立文件或者目录时系统默认的权限分别为644和755,但不同的文件系统预留的权限不同,如下图
umask ##系统建立文件时默认保留的权力
umask 077 ##临时设定系统预留权限为077
永久更改umask
方法:
vim /etc/profile
##系统配置文件
59 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
60 umask 002 ##普通用户的umask
61 else
62 umask 022 ##超级用户的umask
63 fi
vim /etc/bashrc
##shell配置文件
70 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
71 umask 002
72 else
73 umask 022
74 fi
注意:系统配置文件和shell配置文件更改的umask值必须相同
source /etc/profile
##让更改立即生效
##粘制位
作用
只针对目录生效,当一个目录上有sticky权限时在这个目录中的文件只能被文件的所有者删除
设定方式:
chmod o+t dir
chmod 1xxx dir
##强制位
作用
对文件:只针对与二进制可执行文件
当文件上有sgid时任何人执行此文件产生的进程都属于文件的组
对目录:当目录上有sgid权限时任何人在此目录中建立的文件都属于目录的所有组
设定方式:
chmod g+s file|dir
chmod 2xxx file|dir
##冒险位
作用
只针对与二进制可执行文件
当文件上有suid时任何人执行这个文件中记的程序产生的进程都属于文件的所有人
设定方式:
chmod u+s file
chmod 4xxx file
让特定的用户对特定的文件拥有特定的权限
-rw-rwxr--+ 1 root root 0 Jul 21 15:45 file
^
acl开启
getfacl file
##查看acl开启的文件的权限
#file:file ##文件名称
#owner:root ##文件拥有者
#group:root ##文件拥有组
user:rw- ##文件拥有人的权限
user:kiosk:rwx ##指定用户的权限
group::r-- ##文件拥有组的权力
mask::rwx ##能赋予用户的最大权力伐值
other::r-- ##其他人的权限
注意:有加号时用getfacl file查看权限,用ls命令查看的权限是错误的。
getfacl file
setfacl -m u:username:rwx file ##设定username对file拥有rwx权限
setfacl -m g:group:rwx file ##设定group组成员对file拥有rwx权限
setfacl -x u:username file ##从acl列表中删除username
setfacl -b file ##关闭file上的acl列表
在权限列表中mask表示能生效的权力值
当用chmod减小开启acl的文件权限时mask值会发生改变
chmod g-w one
注意:chmod g-w file命令不管group权限有没有w都会减掉mask的w权限
但是如果user上有w权限,使用chmod u-w命令时只会减掉user的w权限,
不会减掉mask的w权限
如果要恢复mask值
setfacl -m m:rwx one
acl默认权限只针对目录设定
“acl权限只针对设定完成之后新建立的文件或者目录生效,而已经存在的文件是不会继承默认权限“
setfacl -m d:u:student:rwx /mnt/one
setfacl -k /mnt/one