本节内容
1. 权限类别
属主（owner） 属组（group） 其他人（other）
2. 查看权限
ls -l
十位： 第一位文件类型-,d,l,
3. 设置权限
chmod 选项 权限模式 filename
选项：-R： 递归设置
4. 字母数字权限
r: 读权限 -->4 -->SUID
w: 写权限-->2-->SGID
x: 执行权限-->1-->SBIT
-：无权限-->0
5. UMASK：022
创建文本666-022=644（创建文本的默认权限）
创建目录777-022=755（创建目录的默认权限）
6.读写执行权限
读权限：
文本：就是查看文本内容
目录：就是ls列出来目录下的文件
写权限：
文本：就是编辑文本内容
目录：就是删除，移动，复制，创建目录下的文件
执行权限：
文本：就是可以执行该文本（二进制程序和脚本）
目录：可以cd到该目录下
7.属主和属组（：和 . ）
chown 选项 属主：属组 filename
chown -R 属主： filename（把属主和属组都改了）
chown -R :属组 filename（只更改了属组）
chown -R 属主：属组 filename（把属主和属组都改了）
chown -R 属主 filename（只更改属主）
8. 文件特殊权限
SUID：只能设置在二进制程序上面（不可以设置在目录上面，可以查看文本，编辑文本）
如果给二进制程序上面设置了SUID权限（属主和执行者必须有
执行权限），那么执行者在执行该二进制程序使瞬间获得属主权限
SGID：可以设置在二进制也可以设置在目录上面
SBIT：只能删除自己创建的文件
9. ACL权限
针对特定用户设置特定权限
setfacl -m u:ken:r filename创建
getfacl filename查看
setfacl -b filename删除
10. sudo
就是让某些用户拥有某些命令的最高权限
visudo
ken ALL=(ALL) ALL
用户 地址 root 命令
一、权限概述
Linux系统一般将文件可存/取访问的身份分为3个类别：owner（拥有者）、group（和所有者同组的用户）、others（其他人，除了所有者，除了同组的用户以及除了超级管理员），且3种身份各有read（读）、write（写）、execute（执行）等权限。
linux系统中的三类人：属主、属组、其他人
如果root用户创建了test文件，默认属主为root，属组也是root，其他人ren1，ren1用户既不是root用户，也不再root组里面，是其他人。
在Linux中，还有一个神一样存在的用户，这就是root用户，因为在所有用户中它拥有最大的权限 ，所以管理着普通用户。
root用户可以无视读写权限，root用户无执行权限也是无法执行，但自身可以加上权限。
二、权限介绍
在多用户（可以不同时）计算机系统的管理中，权限是指某个特定的用户具有特定的系统资源使用权力，像是文件夹、特定系统指令的使用或存储量的限制。
在Linux中分别有读、写、执行权限：
读权限：
对于目录来说，读权限影响用户是否能够列出目录结构
对于文件来说，读权限影响用户是否可以查看文件内容
写权限：
对目录来说，写权限影响用户是否可以在文件夹下“创建/删除/复制到/移动到”文档rm,mv,touch…
对于文件来说，写权限影响用户是否可以编辑文件内容
执行权限：
对于目录来说：执行权限影响用户是否可以执行cd操作
对于文件来说，特别脚本文件。执行权限影响文件是否可以运行。
三、查看文件权限
十位字符表示含义：
第1位：表示文档类型，取值常见的有“d表示文件夹”、“-表示文件”、“l表示软连接”、“s表示套接字”、“c表示字符设备”、“b表示块状设备”等等；
第2-4位：表示文档所有者的权限情况，第2位表示读权限的情况，取值有r、-；第3位表示写权限的情况，w表示可写，-表示不可写，第4位表示执行权限的情况，取值有x、-。
第5-7位：表示与所有者同在一个组的用户的权限情况，第5位表示读权限的情况，取值有r、-；第6位表示写权限的情况，w表示可写，-表示不可写，第7位表示执行权限的情况，取值有x、-。
第8-10位：表示除了上面的前2部分的用户之外的其他用户的权限情况，第8位表示读权限的情况，取值有r、-；第9位表示写权限的情况，w表示可写，-表示不可写，第10位表示执行权限的情况，取值有x、-。
权限分配中，均是rwx的三个参数组合，且位置顺序不会变化。没有对应权限就用 – 代替。
例子：
[root@renyz08 ~]# ll #ll 是“ls -l”的别名
-rw-r--r-- 1 root root 0 7月 12 19:38 test
rw- 表示属主的权限。表示属主对test文件拥有读写权限，无执行权限
r-- 表示属组的权限。表示属组里面的用户对test文件拥有读权限，无写和执行权限
r-x 表示其他人的权限。表示其他人对test文件拥有读和执行权限，无写权限。
四、权限设置
语法：#chmod 选项 权限模式 文件
作用：修改文件的权限
常用选项：
-R：递归设置权限 （当文档类型为文件夹的时候）
（同时修改目录及目录下的所有文件）
权限模式：就是该文档需要设置的权限信息
文档：可以是文件，也可以是文件夹，可以是相对路径也可以是绝对路径。
注意点：如果想要给文档设置权限，操作者要么是root用户，要么就是文档的所有者。
1、用户表示
u：表示所有者身份owner（user）属主
g：表示给所有者同组用户设置（group）属组
o：表示others，给其他用户设置权限（其他人）
a：表示all，给所有人（包含ugo部分）设置权限
如果在设置权限的时候不指定给谁设置，则默认给所有用户设置
2、权限字符：
r：读
w：写
x：表示执行
-：表示没有权限
3、权限分配方式：
+：表示给具体的用户新增权限（相对当前）
-：表示删除用户的权限（相对当前）
=：表示将权限设置成具体的值（注重结果）【赋值】
例子1：给属主增加执行权限
-rw-r--r-- 1 root root 0 7月 12 19:38 test
[root@renyz08 ~]# chmod u+x test
[root@renyz08 ~]# ll
-rwxr--r-- 1 root root 0 7月 12 19:38 test
例子2：去掉属主的执行权限
[root@renyz08 ~]# chmod u-x test
[root@renyz08 ~]# ll
-rw-r--r-- 1 root root 0 7月 12 19:38 test
例子3：授予属主读写执行权限
方法一：
[root@renyz08 ~]# chmod u+x test
方法二：
[root@renyz08 ~]# chmod u=rwx test
[root@renyz08 ~]# ll
-rwxr--r-- 1 root root 0 7月 12 19:38 test
例子4：属主仅用于读权限
方法一：
[root@renyz08 ~]# chmod u-wx test
[root@renyz08 ~]# ll
-r--r--r-- 1 root root 0 7月 12 19:38 test
方法二：
[root@renyz08 ~]# chmod u=r test
[root@renyz08 ~]# ll
-r--r--r-- 1 root root 0 7月 12 19:38 test
例子5：给属组添加执行权限
[root@renyz08 ~]# chmod g+x test
[root@renyz08 ~]# ll
-r--r-xr-- 1 root root 0 7月 12 19:38 test
例子6：给属组删除执行权限
[root@renyz08 ~]# chmod g-x test
[root@renyz08 ~]# ls -l
-r--r--r-- 1 root root 0 7月 12 19:38 test
例子7：授予属组中用户读写执行权限
[root@renyz08 ~]# chmod g=rwx test
[root@renyz08 ~]# ll
-r--rwxr-- 1 root root 0 7月 12 19:38 test
例子8：给其他人添加执行权限
[root@renyz08 ~]# chmod o+x test
[root@renyz08 ~]# ll
-r--rwxr-x 1 root root 0 7月 12 19:38 test
例子9：给其他人删除执行权限
[root@renyz08 ~]# chmod o-x test
[root@renyz08 ~]# ll
-r--rwxr-- 1 root root 0 7月 12 19:38 test
例子10：给其他人添加读写执行权限
[root@renyz08 ~]# chmod o=rwx test
[root@renyz08 ~]# ll
-r--rwxrwx 1 root root 0 7月 12 19:38 test
思考：让ren2用户拥有root用户在/tmp目录下创建对的test文件的写权限？
-rw-r--r-- 1 root root 0 7月 12 20:32 test
方法一：
[root@renyz08 tmp]# chmod 0+w test
方法二：
[root@renyz08 tmp]# usermod -G root ren2
方法三：
[root@renyz08 tmp]# chown ren2 test
方法四：
[root@renyz08 tmp]# chown :ren2 test
4、用数字表示权限
经常会在一些技术性的网页上看到类似于#chmod 777 a.txt 这样的一个权限，这种形式称之为数字形式权限（777）。
读： r 4（2^2）
写： w 2（2^1）
执行：x 1（2^0）
没有任何权限：0 对应---
如下：
rwxr–r 744
755 rwxr-xr-x
700 rwx------
655 rw-r-xr-x
644 rw-r—r--
600 rw-------
000 ---------
面试题：用超级管理员设置文档的权限命令是#chmod -R 731 aaa，请问这个命令有没有什么不合理的地方？
所有者 = 7 = 4 + 2 + 1 = 读 + 写 + 执行
同组用户 = 3 = 2 + 1 = 写 + 执行
其他用户 = 1 = 执行
问题在权限731中3表示写+执行权限，但是写又不必须需要能打开之后才可以写，因此必须需要具备读权限，因此权限不合理。以后建议各位在设置权限的时候不要设置这种“奇葩权限”。
单独出现2、3的权限数字一般都是有问题的权限
例子1：属主拥有读写权限，属组拥有读权限，其他人拥有读写执行权限
[root@renyz08 tmp]# chmod 647 test
[root@renyz08 tmp]# ll test
-rw-r--rwx 1 root root 0 7月 12 20:32 test
例子2：同时给所有用户添加执行权限
[root@renyz08 tmp]# chmod +x test #a+x 中a可以省略
[root@renyz08 tmp]# ll test
-rwxr-xrwx 1 root root 0 7月 12 20:32 test
例子3：同时给所有用户删除执行权限
[root@renyz08 tmp]# chmod -x test
[root@renyz08 tmp]# ll test
-rw-r--rw- 1 root root 0 7月 12 20:32 test
例子4：同时给所有用户添加读权限
[root@renyz08 tmp]# chmod +r test
[root@renyz08 tmp]# ll test
-rw-r--rw- 1 root root 0 7月 12 20:32 test
例子5：同时给所有用户删除读权限
[root@renyz08 tmp]# chmod -r test
[root@renyz08 tmp]# ll test
--w-----w- 1 root root 0 7月 12 20:32 test
例子6：同时给所有用户添加写权限
[root@renyz08 tmp]# chmod +w test
#如果前面不加a的话，默认只添加属主的写权限
[root@renyz08 tmp]# ll test
--w------- 1 root root 0 7月 12 20:32 test
[root@renyz08 tmp]# chmod a+w test
[root@renyz08 tmp]# ll test
--w--w--w- 1 root root 0 7月 12 20:32 test
例子7：同时删除所有人的写权限
[root@renyz08 tmp]# chmod a-w test
[root@renyz08 tmp]# ll test
---------- 1 root root 0 7月 12 20:32 test
设置权限注意事项：
要么只读
如果有写权限，那么就需要有读权限
5、-R 选项：在更改目录权限时使用
例子1：
[root@renyz08 tmp]# mkdir test
[root@renyz08 tmp]# ll test
总用量 0
[root@renyz08 tmp]# touch test/test{1..4}
[root@renyz08 tmp]# ll test
总用量 0
-rw-r--r-- 1 root root 0 7月 12 20:53 test1
-rw-r--r-- 1 root root 0 7月 12 20:53 test2
-rw-r--r-- 1 root root 0 7月 12 20:53 test3
-rw-r--r-- 1 root root 0 7月 12 20:53 test4
[root@renyz08 tmp]# chmod +x test
#不加-R选项仅仅只会更改ken目录本身的权限
[root@renyz08 tmp]# ls -ld test
drwxr-xr-x 2 root root 58 7月 12 20:53 test
[root@renyz08 tmp]# ll test
总用量 0
-rw-r--r-- 1 root root 0 7月 12 20:53 test1
-rw-r--r-- 1 root root 0 7月 12 20:53 test2
-rw-r--r-- 1 root root 0 7月 12 20:53 test3
-rw-r--r-- 1 root root 0 7月 12 20:53 test4
[root@renyz08 tmp]# chmod -R +x test
#加-R选项会把ken目录以及目录下的所有文件权限都会更改
[root@renyz08 tmp]# ll test
总用量 0
-rwxr-xr-x 1 root root 0 7月 12 20:53 test1
-rwxr-xr-x 1 root root 0 7月 12 20:53 test2
-rwxr-xr-x 1 root root 0 7月 12 20:53 test3
-rwxr-xr-x 1 root root 0 7月 12 20:53 test4
五、chown命令
作用：更改文件的属主（change owner）
语法：#chown -R 新的username 文档路径
选项：
-R 同时更改目录以及目录下的所有文件的属主和属组（文件不需要-R）
例子1：改变test2文件的属主为ren2
[root@renyz08 tmp]# chown ren2 test/test2
例子2：改变test2文件的属组为ren3
[root@renyz08 tmp]# chown :ren3 test/test2
[root@renyz08 tmp]# ll test/test2
-rwxr-xr-x 1 ren2 ren3 0 7月 12 20:53 test/test2
例子3：同时更改为test3文件的属主和属组权限为root
方法一：
[root@renyz08 tmp]# chown root:root test/test3
[root@renyz08 tmp]# ll test/test3
-rwxr-xr-x 1 root root 0 7月 12 20:53 test/test3
方法二：
[root@renyz08 tmp]# chown root: test/test3
方法三：
[root@renyz08 tmp]# chown root.root test/test3
方法四：
[root@renyz08 tmp]# chown root. test/test3
例子4：-R 选项
[root@renyz08 tmp]# chown ren4. test
#不加-R仅仅更改目录本身的属主和属组
[root@renyz08 tmp]# ll
drwxr-xr-x 2 ren4 ren4 58 7月 12 20:53 test
[root@renyz08 tmp]# ll test
总用量 0
-rwxr-xr-x 1 root root 0 7月 12 20:53 test1
-rwxr-xr-x 1 ren2 ren3 0 7月 12 20:53 test2
-rwxr-xr-x 1 root root 0 7月 12 20:53 test3
-rwxr-xr-x 1 root root 0 7月 12 20:53 test4
[root@renyz08 tmp]# chown -R ren4. Test
#加上-R同时更改目录以及目录下的所有文件的属主和属组
[root@renyz08 tmp]# ll test
总用量 0
-rwxr-xr-x 1 ren4 ren4 0 7月 12 20:53 test1
-rwxr-xr-x 1 ren4 ren4 0 7月 12 20:53 test2
-rwxr-xr-x 1 ren4 ren4 0 7月 12 20:53 test3
-rwxr-xr-x 1 ren4 ren4 0 7月 12 20:53 test4
六、文件的特殊权限
SUID
SGID
SBIT
ACL
1、SUID（set uid设置用户ID）
限定：只能设置在二进制可执行程序上面。对目录设置无效
功能：程序运行时的权限从执行者变更成程序所有者的权限
注意：设定suid的命令其他人也需要有执行权限
uid权限设置：
chmod u+s cmd
例子1：给cat命令添加SUID权限（普通用户没法cat /etc/shadow）
[root@renyz08 ~]# chmod u+s `which cat`
[root@renyz08 ~]# ls -ld `which cat`
-rwsr-xr-x. 1 root root 54160 10月 31 2018 /usr/bin/cat
#文件有执行权限时，添加SUID后，显示s
[root@renyz08 ~]# chmod u-x `which cat`
[root@renyz08 ~]# ls -ld `which cat`
-rwSr-xr-x. 1 root root 54160 10月 31 2018 /usr/bin/cat
#文件没有执行权限时，添加SUID后，显示S
验证：
再次查看/etc/shadow文件发现可以看了
[ren23@renyz08 ~]$ cat /etc/shadow
root:$6$yqv.0UOIdStkIBmT$lr6lh4dghoNJQF6YoPn4upZFCUNT0df1SDujNlnIQzWKETrEJsYgdcqly611u1FXmkPblNMWG2swNETi7N5Ff1::0:99999:7:::
bin:*:17834:0:99999:7:::
daemon:*:17834:0:99999:7:::
…
2、SGID
限定：既可以给二进制可执行程序设置，也可以对目录设置权限
功能：在设置了SGID权限的目录下建立文件时，新创建的文件的所属组会继承上级目录的所属组
例子1：给目录test添加SGID权限
[root@renyz08 tmp]# ls -ld test
drwxr-xr-x 2 ren4 ren4 97 7月 13 09:01 test
[root@renyz08 tmp]# chmod g+s test
drwxr-sr-x 2 ren4 ren4 97 7月 13 09:01 test
[root@renyz08 tmp]# touch test/test123
[root@renyz08 tmp]# ll test/test123
-rw-r--r-- 1 root ren4 0 7月 13 10:25 test/test123
3、SBIT
对于设置sbit权限的文件，用户只能删除自己创建的文件，无法删除其他用户的文件
例子1：设置SBIT权限
[root@renyz08 ~]# chmod o+t /tmp/test
[root@renyz08 ~]# ls -ld /tmp/test
drwxrwsr-t 2 ren4 ren4 125 7月 13 10:33 /tmp/test
/tmp目录本身默认已经添加了SBIT权限！
[root@renyz08 ~]# ls -ld /tmp
drwxrwxrwt. 15 root root 4096 7月 13 09:41 /tmp
验证：
[ren2@renyz08 test]$ touch test22
[ren2@renyz08 test]$ su - ren3
[ren3@renyz08 test]$ rm -rf test22
验证无法删除！
如何删除？
[root@renyz08 ~]# chmod o-t /tmp/test
[ren3@renyz08 test]$ rm -f test22
[ren3@renyz08 test]$
4、ACL
扩展ACL ：access control list
作用：对特定的用户实现了权限管控
选项：-m (--modify) 表示设置的意思
例子1：设置ren2用户对文件test8拥有读写权限
[root@renyz08 test]# setfacl -m u:ren2:rw test8
-rw-rw-r--+ 1 root ren4 0 7月 13 10:33 test8
验证：
[root@renyz08 test]# id ren2
uid=1005(ren2) gid=0(root) 组=0(root),1011(ren3)
[root@renyz08 test]# id ren3
uid=1011(ren3) gid=1011(ren3) 组=1011(ren3),0(root)
[ren3@renyz08 test]$ su - ren2
[ren2@renyz08 ~]$ cd /tmp/test
[ren2@renyz08 test]$ cat test8
[ren2@renyz08 test]$ echo "123" > test8 #ren2用户可读可写
[ren2@renyz08 test]$ cat test8
123
[ren2@renyz08 test]$ su - ren3
[ren3@renyz08 ~]$ cd /tmp/test
[ren3@renyz08 test]$ cat test8
123
[ren3@renyz08 test]$ echo "dd" > test8 #ren3用户可读不可写
-bash: test8: 权限不够
怎么清除acl权限：
[root@renyz08 test]# setfacl -b test8
[root@renyz08 test]# getfacl test8
# file: test8
# owner: root
# group: ren4
user::rw-
group::r--
other::r--
七、sudo
sudo（switch user do）命令用来进行权限设置。Sudo可以让管理员（root）事先定义某些特殊命令谁可以执行。
默认sudo中是没有除root之外用户的规则，要想使用需先配置sudo。
Sudo配置文件：/etc/sudoers
该文件默认只读，不允许修改，因此不能直接修改。
a. 配置sudo文件请使用“#visudo”，打开之后其使用方法和vim一致
b. 配置普通用户的权限（在root下增加）
99 ## Allow root to run any commands anywhere
100 root ALL=(ALL) ALL
Root：表示用户名，如果是用户组，则可以写成“%组名”
ALL：表示允许登录的主机（地址白名单）
(ALL)：表示以谁的身份执行，ALL表示root身份
ALL：表示当前用户可以执行的命令，多个命令可以使用“,”分割
例子1：让ren2用户拥有创建用户的功能
[root@renyz08 test]# visudo
101 ren2 ALL=(ALL) /sbin/useradd
#ren2是用户名，ALL表示可以从任意主机进行登录（ALL） 以root的身份进行尽心命令的运行
#/sbin/useradd表示ren2用户可以以root的身份来执行创建用户
[root@ken tmp]# visudo
[ren2@renyz08 ~]$ useradd ren11
useradd: Permission denied.
useradd：无法锁定 /etc/passwd，请稍后再试。
[ren2@renyz08 ~]$ sudo useradd ren11
#配置visudo后需要使用sudo去执行相应的命令
我们信任您已经从系统管理员那里了解了日常注意事项。
总结起来无外乎这三点：
#1) 尊重别人的隐私。
#2) 输入前要先考虑(后果和风险)。
#3) 权力越大，责任越大。
#如果用户ren2设置了登录密码，在第一次执行命令时需要输入密码，同时5分钟之内不需要输入密码！
注意：在写sudo规则的时候不建议写直接形式的命令，而是写命令的完整路径。
路径可以使用which命令来查看
语法：#which 指令名称