Linux权限管理

系统管理员 2022-05-28 07:53 180阅读 0赞

# Linux的基本权限    #

## 1，基本权限的修改    ##

概述：文件权限设置： 可以赋于某个用户或组 能够以何种方式 访问某个文件

权限对象：  
              属主： u  
              属组： g  
              其他人: o  
              所有人：a(u+g+o)

权限的类型：读：r=4  
                          写：w=2  
                        执行: x=1

如何修改权限呢？

使用符号：u用户 g组  o其他  r读   w写  x执行  
                语法： chmod 对象(u/g/o/a) 赋值符(+/-/=) 权限类型(r/w/x)  文本对象

\[root@localhost ~\]\# cd  /tmp  
\[root@localhost tmp\]\# chmod u+x file1 //属主增加执行  
\[root@localhost tmp\]\# chmod a=rwx file1 //所有人等于读写执行  
\[root@localhost tmp\]\# chmod a=- file1 //所有人没有权限  
\[root@localhost tmp\]\# chmod ug=rw,o=r file1 //属主属组等于读写，其他人只读  
\[root@localhost tmp\]\# ll file1 //以长模式方式查看文件权限  
\-rw-rw-r-- 1 alice it 17 10-25 16:45 file1 //显示的结果

也可以通过数字来修改权限，如下：

4读   2写   1执行

\[root@localhost ~\]\# chmod 644 file1  
\[root@localhost ~\]\# ll file1  
\-rw-r--r-- 1 alice it 17 10-25 16:45 file1

## 2，权限的作用    ##

###  1，权限对文件的作用      ###

r: 读取文件的类容(cat more head tail)

w: 编辑，新增，修改文件的类容(vi echo)    \-但是不包含删除文件(除非用户对该文件的上级目录有w权限，一般很少见，因为通常不会赋予普通用户很高的权限)

x: 可执行

###  2，权限对目录的作用    ###

r: 可以查询目录下的文件夹(ls)

w: 具有修改目录结构的权限。如新建文件和目录，删除此目录下的文件和目录，重命名此目录下文件和目录， 剪切(touch rm mv cp)

x: 可以进入目录(cd)

###  3, 总结    ###

对文件来讲： 最高权限是 x

对目录来讲 ：最高权限是 w

对于目录来说权限只有0,5,7三种，1,4,6权限是没有意义的

也就是说目录要么没有权限，要么至少要有rx权限。

## 3，其他权限命令          ##

chown  用户名 文件名      -修改文件的所属主

=chown： 设置一个文件属于谁，属主  
语法：                      chwon   用户名.组名   文件  
\[root@localhost ~\]\# chown alice.hr file1 //改属主、属组  
\[root@localhost  ~\]\# chown alice file1 //只改属主  
\[root@localhost ~\]\# chown .hr file1 //只改属组

chgrp   组名     文件名     -修改文件的所属组

=chgrp： 设置一个文件属于哪个组，属组  
语法：            chgrp   组名   文件      -R是递归的意思  
\[root@localhost ~\]\# chgrp it file1 //改文件属组  
\[root@localhost ~\]\# chgrp -R it dir1 //改文件属组

# Linux的特殊权限 #

## 1，acl权限       -(基本的权限只能满足一个用户，一个组或者其他人，而acl权限就是针对特殊需求基于特殊权限)    ##

### 1.1 设置acl权限    ###

\[root@localhost ~\]\# setfacl  选项 文件名     -设置acl权限

选项：-m 设定acl权限

-x删除指定的acl权限

-b删除所有的acl权限

-d设定默认的acl权限

-k删除默认的acl权限

-R递归设定acl权限

设置：  
\[root@tianyun ~\]\# touch /home/test.txt  
\[root@tianyun ~\]\# ll /home/test.txt  
\-rw-r--r-- 1 root root 0 10-26 13:59 /home/test.txt  
  
\[root@tianyun ~\]\# getfacl /home/test.txt//查看文件有哪些ACL权限。  
\[root@tianyun ~\]\# setfacl -m u:alice:rw /home/test.txt //增加用户alice权限  
\[root@tianyun ~\]\# setfacl -m u:jack:- /home/test.txt //增加用户jack权限  
\[root@tianyun ~\]\# setfacl -m o::rw /home/test.txt

### 1.2 查看acl权限    ###

\[root@localhost ~\]\# getfacl 文件名     -查看acl权限

示例：

\[root@localhost ~\]\# getfacl /tmp/filemask  
getfacl: Removing leading '/' from absolute path names  
\# file: tmp/filemask  
\# owner: root  
\# group: root  
user::rw-  
user:alice:rwx  
group::r--  
mask::rwx  
other::r--

### 1.3 给用户设定acl权限 ###

示例：

\[root@tianyun ~\]\# setfacl -m u:alice:rw /home/test.txt //增加用户alice权限  
\[root@tianyun ~\]\# setfacl -m u:jack:- /home/test.txt //增加用户jack权限

### 1.4 给用户组设定acl权限    ###

示例：

\[root@tianyun ~\]\# setfacl -m g:hr:r /home/test.txt//给人力组hr设acl权限

### 1.5 最大有效权限 ###

mask是用来指定最大的有效权限的，如果我们给予用户acl权限，就要和mask进行“相与”（数学上面的取交集）才能得到用户的真正权限。

\[root@localhost ~\]\# setfacl  -m m:rx 文件名     -设置最大有效权限

示例：

1.创建一个测试文件：/tmp/filemask  
\[root@localhost ~\]\# touch /tmp/filemask  
2.移除其他用户权限  
\[root@localhost ~\]\# chmod o-r /tmp/filemask  
3.设置用户alice，读写执行权限  
\[root@localhost ~\]\# setfacl -m u:alice:rwx /tmp/filemask  
4.查看权限  
\[root@localhost ~\]\# getfacl /tmp/filemask  
getfacl: Removing leading '/' from absolute path names  
\# file: tmp/filemask  
\# owner: root  
\# group: root  
user::rw-  
user:alice:rwx  
group::r--  
mask::rwx  
other::r--  
5.切换用户alice，验证权限（读写执行）  
\[root@localhost ~\]\# su - alice  
上一次登录：四 3月 29 15:47:05 CST 2018pts/1 上  
\[alice@localhost ~\]$ echo date >  /tmp/filemask  
\[alice@localhost ~\]$ cat /tmp/filemask  
date  
\[alice@localhost ~\]$ /tmp/filemask  
2018年 03月 29日 星期四 15:48:52 CST  
\[alice@localhost ~\]$ exit  
登出  
6.设置掩码mask权限，为无权限。  
\[root@localhost ~\]\# setfacl -m m::--- /tmp/filemask  
7.观察有效权限effective，alice用户没有权限。  
\[root@localhost ~\]\# getfacl /tmp/filemask  
getfacl: Removing leading '/' from absolute path names  
\# file: tmp/filemask  
\# owner: root  
\# group: root  
user::rw-  
user:alice:rwx            \#effective:---  
group::r--            \#effective:---  
mask::---  
other::r--  
8.切换用户验证mask。  
\[root@localhost ~\]\# su - alice  
上一次登录：四 3月 29 15:48:23 CST 2018pts/1 上  
  
\[alice@localhost ~\]$ echo date >> /tmp/filemask  
\-bash: /tmp/filemask: 权限不够  
  
\[alice@localhost ~\]$ cat /tmp/filemask  
cat: /tmp/filemask: 权限不够  
9.得出结论，mask掩码与有效权限取之交集。

### 1.6 删除acl权限    ###

####      删除用户的acl权限 ####

示例：

\[root@tianyun ~\]\# setfacl -x u:alice /home/test.txt //删除用户alice的acl权限

####      删除用户组的acl权限 ####

示例：

\[root@tianyun ~\]\# setfacl -x g:hr /home/test.txt //删除用户组hr的acl权限

####     删除所有的acl权限 ####

示例：

\[root@tianyun ~\]\# setfacl -b /home/test.txt //删除所有acl权限

### 1.7 递归acl权限(只对文件夹原来已有的文件生效) ###

递归是父目录在设定acl权限时，所有的子文件和子目录也会有相同的acl权限。

\[root@localhost ~\]\# setfacl  -m u:用户名:权限  -R  文件名

设定文件夹的ACL权限时，同时赋予文件夹内部文件同样的ACL权限，此时就要用到 –R，就像下面的例子一样

![70][]

av/赋予用户lw（老王）ACL权限的同时，给他的内部

文件也赋予相同的权限。

### 1.8 默认acl权限(只对后来目录中新建的文件生效) ###

默认acl权限的作用是如果给父目录设定了默认acl权限，那么父目录中所有的子目录都会父目录的acl权限。

\[root@localhost ~\]\# setfacl  -m  d:u:用户名:权限  文件名

default: 继承（默认）  
要求： 希望alice能够对/home以及以后在/home下新建的文件有读、写、执行权限  
  
思路：  
步骤一： 赋予alice对/home读、写、执行权限  
\[root@tianyun ~\]\# setfacl -m u:alice:rwx /home  
  
步骤二： 赋予alice对以后在/home下新建的文件有读、写、执行权限 （使alice的权限继承）  
d     default     继承    
\[root@tianyun ~\]\# setfacl -m d:u:alice:rwx /home

## 2，sudo权限  -(root把本来只能超级管理员的命令赋予普通用户执行。root的操作对象是系统命令) ##

### ![70 1][]        ###

### 2.1 指定wheel组，通过把用户加入到wheel组来赋予它sudo权限    ###

以root身份授权普通用户xulei

\[root@tianyun ~\]\# vim /etc/sudoers  
%wheel ALL=(ALL) NOPASSWD: ALL  
  
\[root@tianyun ~\]\# useradd xulei -G wheel  
\[root@tianyun ~\]\# id xulei  
uid=504(xulei) gid=504(xulei) 组=504(xulei),10(wheel)  
  
\# passwd xulei  
切换用户xulei登陆  
  
\[xulei@tianyun ~\]$ useradd gougou10  
\-bash: /usr/sbin/useradd: 权限不够  
\[xulei@tianyun ~\]$ sudo useradd gougou10  
\[xulei@tianyun ~\]$ id gougou10  
uid=505(gougou10) gid=505(gougou10) 组=505(gougou10)

### 2.2 单独给一个用户来指定sudo权限    ###

这里只需要把上面 %wheel ALL=(ALL) NOPASSWD: ALL这一行改为

用户名  ALL=命令(这个命令要使用绝对路径   例如：alice  ALL=/sbin/shutdown -r now)

## 3, 文件特殊权限(SetUID,SetGID,SBIT)    ##

### 3.1 SetUID    ###

普通用户通过suid可以临时提权<针对文件>

示例1：

suid   普通用户通过suid提权     <针对文件>

在进程文件（二进制，可执行）上增加suid权限  
\[root@tianyun ~\]\# chmod u+s /usr/bin/cat

\[alice@tianyun ~\]$ cat /root/file1.txt

请在试验后，将cat的suid权限除去。

示例2：

普通用户可以修改密码：

alice           /usr/bin/passwd      /etc/shadow  
  
\[alice@tianyun ~\]$ ll /usr/bin/passwd  
\-rwsr-xr-x. 1 root root 30768 2月  17 2012 /usr/bin/passwd  
  
\[alice@tianyun ~\]$ passwd  
更改用户 alice 的密码 。  
为 alice 更改 STRESS 密码。  
（当前）UNIX 密码：  
  
\[root@tianyun ~\]\# ps aux |grep passwd  
root      3674  0.0  0.0 165764  1884 pts/1    S+   14:34   0:00 passwd

### 3.2  SetGID ###

示例：

sgid 新建文件继承目录属组   <针对目录>

\[root@tianyun ~\]\# mkdir /home/hr  
\[root@tianyun ~\]\# groupadd  hr  
\[root@tianyun ~\]\# chgrp hr /home/hr/  
\[root@tianyun ~\]\# chmod g+s /home/hr  
\[root@tianyun ~\]\# ll -d /home/hr/  
drwxr-sr-x. 2 root hr 4096 Dec  5 16:03 /home/hr/  
\[root@tianyun ~\]\# touch /home/hr/file9  
\[root@tianyun ~\]\# ll /home/hr/  
\-rw-r--r--. 1 root hr   0 Dec  5 16:03 file9

### 3.3 SBIT（sticky）    ###

示例：

sticky 用户只能删除自己的文件  <针对目录>

\[root@tianyun ~\]\# mkdir /home/dir1  
\[root@tianyun ~\]\# chmod 777 /home/dir1  
测试：user1在/home/dir1建立文件, user2尝试删除！  
\[root@tianyun ~\]\# chmod o+t /home/dir1  
\[root@tianyun ~\]\# ll -d /home/dir1  
rwxrwxrwt 2 root root 4096 09-02 02:26 /home/dir1  
谁可以删除：  
root  
文件的所有者  
目录的所有者

## 4, 不可改变位权限(chattr) ##

### 4.1 用途：常用于锁定某个文件，拒绝修改    ###

### 4.2 分类： ###

![70 2][]

### 4.2 注意：设置文件属性(权限)，针对所有用户，包括root ###

### 4.3 案例：    ###

文件权限管理之： 文件属性  
注：设置文件属性(权限)，针对所有用户，包括root  
1 先创建三个文件进行对比。查看默认权限。  
\[root@tianyun ~\]\# touch file100 file200 file300 file400  
\[root@tianyun ~\]\# lsattr file100 file200 file300  
\-------------- file100  
\-------------- file200  
\-------------- file300  
2 加上不同属性。  
\[root@tianyun ~\]\# man chattr  
\[root@tianyun ~\]\# chattr +a file100             //只能追加  
\[root@tianyun ~\]\# chattr +i file200             //不能更改，重命名，删除  
\[root@tianyun ~\]\# chattr +A file300            //不能更改访问时间。  
3 查看不同属性  
\[root@tianyun ~\]\# lsattr file100 file200 file300  
\-----a-------e- file100  
\----i--------e- file200  
\-------A-----e- file300  
4 尝试追加，删除，更改。100不能覆盖，200不能删除，300改了不计时间。  
\[root@tianyun ~\]\# echo 111 > file100                 //以覆盖的方式写入  
bash: file100: Operation not permitted  
\[root@tianyun ~\]\# rm -rf file100  
rm: cannot remove \`file100': Operation not permitted  
\[root@tianyun ~\]\# echo 111 >> file100                //以追加的方式写入，例如日志文件  
\[root@tianyun ~\]\# echo 111 > file200  
bash: file200: Permission denied  
\[root@instructor ~\]\# echo 111 >> file200  
bash: file200: Permission denied  
\[root@tianyun ~\]\# rm -rf file200  
rm: cannot remove \`file200': Operation not permitted  
===========================================  
5 记录file300 和file400 访问时间  
\[root@localhost ~\]\# stat file300 file400  
观察两个文件的访问时间。截图  
  
6 更改和访问文件。  
\[root@localhost ~\]\# date 06010000  
2018年 06月 01日 星期五 00:00:00 CST  
\[root@localhost ~\]\# echo 111 >> file300  
\[root@localhost ~\]\# echo 111 >> file400  
\[root@localhost ~\]\# cat file300  file400  
  
7 观察file300 和file400 访问变化时间  
\[root@localhost ~\]\# stat file300 file400  
对比第五步文件访问的信息。300没有变化，400有变化。  
理解-A锁定了访问时间。  
==========================================  
6 将属性还原。  
\[root@tianyun ~\]\# chattr -a file100  
\[root@tianyun ~\]\# chattr -i file200  
\[root@tianyun ~\]\# chattr -A file300

## 5, 进程掩码（mask umask）    ##

示例1：观察系统默认掩码

示例1: 在shell进程中创建文件  
\[root@tianyun ~\]\# umask                                     //查看当前用户的umask权限  
0022  
\[root@tianyun ~\]\# touch file800  
\[root@tianyun ~\]\# mkdir dir800  
\[root@tianyun ~\]\# ll -d dir800 file800  
drwxr-xr-x. 2 root root 4096 3月  11 19:40 dir800  
\-rw-r--r--. 1 root root    0 3月  11 19:40 file800

示例2：修改shell umask值（临时）  
\[root@tianyun ~\]\# umask 000  
\[root@tianyun ~\]\# mkdir dir900  
\[root@tianyun ~\]\# touch file900  
\[root@tianyun ~\]\# ll -d dir900 file900  
drwxrwxrwx. 2 root root 4096 3月  11 19:44 dir900  
\-rw-rw-rw-. 1 root root    0 3月  11 19:44 file900

示例3：修改shell umask值（永久 建议不要）  
\[root@tianyun ~\]\# vim /etc/profile     
if \[ $UID -gt 199 \] && \[ "\`id -gn\`" = "\`id -un\`" \]; then  
    umask 002  
else  
    umask 022  
fi  
\[root@tianyun ~\]\# source /etc/profile       //立即在当前shell中生效  
  
示例4：通过umask决定新建用户HOME目录的权限  
\[root@tianyun ~\]\# vim /etc/login.defs  
UMASK           077  
\[root@tianyun ~\]\# useradd gougou  
\[root@tianyun ~\]\# ll -d /home/gougou/  
drwx------. 4 gougou gougou 4096 3月  11 19:50 /home/gougou/  
  
\[root@tianyun ~\]\# vim /etc/login.defs  
UMASK           000  
\[root@tianyun ~\]\# useradd yangyang  
\[root@tianyun ~\]\# ll -d /home/yangyang/  
drwxrwxrwx. 4 yangyang yangyang 4096 3月  11 19:53 /home/yangyang/  
  
示例5：例如vsftpd进程 /etc/vsftpd/vsftpd.conf 【了解】  
\[root@tianyun ~\]\# yum -y install vsftpd  
\[root@tianyun ~\]\# man vsftpd.conf  
anon\_umask  
local\_umask

[70]: /images/20220528/0a549a767cd442e28d58edc5cf0b26d4.png
[70 1]: /images/20220528/3ff2ecfeac554abcad941f71e2a20b16.png
[70 2]: /images/20220528/45023c11d1be46299514077579f8f84a.png