ACL權限管理

ACL（Access Control List，訪問控制列表）主要是提供傳統的owner,group,others的read,write,execute權限之外的具體權限設置，ACL可以針對單一用戶、單一文件或目錄來進行r,w,x的權限控制，對于需要特殊權限的使用狀況有一定幫助。

例①：目錄 /home/acl 的權限為：drwxr-x---，所有者與所屬組均為 root，在不改變所有者的前提下，只要求other組的用戶justin 對該目錄有完全訪問權限 (rwx)(justin不屬于 root group)
(1) 對于/home/acl目錄來說justin用戶屬于other組，如果給 /home/acl的 other 組增加 rwx 權限，這樣所有other組成員都擁有了rwx權限。
(2) 如果將 justin 加入到 root 組，為 root 組分配 rwx 權限，顯然和題意不符。

為了解決這個問題需要使用ACL的功能，ACL 可以設置特定用戶或者用戶組對于一個文件的操作權限

ACL權限管理
Setfacl：設置某個文件/目錄的ACL設置項目 Getfacl：取得某個文件/目錄的ACL設置項目 說明：ACL 有兩種，一種是存取 ACL (access ACLs)，針對文件和目錄設置訪問控制列表。一種是默認ACL(default ACLs)，只能針對目錄設置。如果目錄中的文件沒有設置ACL，它就會使用該目錄的默認 ACL.
參數	功能	參數	功能
-m	修改文件（夾）當前的ACL設置	-x	刪除文件（夾）的ACL設置
-M	讀取文件（夾）修改的ACL設置	-X	讀取刪除的文件（夾）ACL設置
-b	刪除所有的ACL設置	-R	遞歸設置ACL
-k	刪除默認的ACL設置	-d	設置默認的ACL

注意：除了對用戶、組進行設置外還可以對有效權限（mask）進行設置，用戶或組所設置的權限必須要存在于mask的權限設置范圍內才會生效

上面的例①可以如下操作：

---

? ? ? ?SetUID SetGID 粘滯位（sticky位）

權限	功能
SetUID	使用戶具有文件所有者的權限.。SetUID只會出現在二進制文件中,目錄中存在將沒有意義。當其它用戶使用帶用Setuid標識的命令時,自己對此命令也必需有X(執行)的權限
SetGID	設置用戶具有該目錄所屬組的權限。該權限只對目錄有效. 目錄被設置該位后, 任何用戶在此目錄下創建的文件都具有和該目錄所屬的組相同的組.
粘滯位	粘滯位主要是為公共目錄（例如權限為777的）設置，作用是用戶不能刪除該目錄中其他用戶的文件(root用戶除外）。sticky只對文件有效

文件（夾）的權限實際上是由4位8進制數字表示，這4位數字由SetUID+SetGID+粘滯位、屬主、屬組、其他用戶組成，SetUID、SetGID、粘滯位（sticky位）分別用數字4、2、1表示，設置后, 可以用 ls -l 來查看. 如果本來在該位上有x, 則這些特殊標志顯示為小寫字母 (s, s, t). 否則, 顯示為大寫字母 (S, S, T),賦予SetUID權限chmod命令：chmod 4xxx file(s)或chmod u+s file(s),撤銷SetUID權限：chmod xxx file(s)或chmod u-s file(s)

例：1、以SetUID為例：

2、在/home/sticky目錄中任何用戶都可以創建文件或目錄，但只有用戶自身和root用戶可以刪除用戶所創建的文件或目錄。

---

chattr與lsattr命令

這兩個命令是用來查看和改變文件、目錄屬性的，與chmod這個命令相比，這兩個命令是用來查看和改變文件、目錄屬性的，與chmod這個命令相比，chmod只是改變文件的讀寫、執行權限，更底層的屬性控制是由chattr來改變的。

chattr命令的用法：chattr [ -RVf ] [ -v version ] [ mode ] files…

+ ：在原有參數設定基礎上，追加參數。+ ：在原有參數設定基礎上，追加參數。
- ：在原有參數設定基礎上，移除參數。
= ：更新為指定參數設定。
A：文件或目錄的 atime (access time)不可被修改(modified), 可以有效預防例如手提電腦磁盤I/O錯誤的發生。
S：硬盤I/O同步選項，功能類似sync。
a：即append，設定該參數后，只能向文件中添加數據，而不能刪除，多用于服務器日志文件安全，只有root才能設定這個屬性。
c：即compresse，設定文件是否經壓縮后再存儲。讀取時需要經過自動解壓操作。
d：即no dump，設定文件不能成為dump程序的備份目標。
i：設定文件不能被刪除、改名、設定鏈接關系，同時不能寫入或新增內容。i參數對于文件 系統的安全設置有很大幫助。
j：即journal，設定此參數使得當通過mount參數：data=ordered 或者 data=writeback 掛 載的文件系統，文件在寫入時會先被記錄(在journal中)。如果filesystem被設定參數為 data=journal，則該參數自動失效。
s：保密性地刪除文件或目錄，即硬盤空間被全部收回。
u：與s相反，當設定為u時，數據內容其實還存在磁盤中，可以用于undeletion。
各參數選項中常用到的是a和i。a選項強制只可添加不可刪除，多用于日志系統的安全設定。而i是更為嚴格的安全設定，只有superuser (root) 或具有CAP_LINUX_IMMUTABLE處理能力（標識）的進程能夠施加該選項。

用chattr命令防止系統中某個關鍵文件被修改

1 2 3 4 5 6

[root@justin ~]# lsattr /etc/resolv.conf -------------e- /etc/resolv.conf [root@justin ~]# chattr +i /etc/resolv.conf [root@justin ~]# lsattr /etc/resolv.conf ----i--------e- /etc/resolv.conf [root@justin ~]# vim /etc/resolv.conf

讓某個文件只能往里面追加數據，但不能刪除，適用于各種日志文件

1	[root@justin ~]# chattr +a /var/log/messages

本文轉自 justin_peng 51CTO博客，原文鏈接：http://blog.51cto.com/ityunwei2017/1347712，如需轉載請自行聯系原作者

總結

以上是生活随笔為你收集整理的RHEL6基础四十九之RHEL文件（夹）权限进阶篇的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。