Linux操作系统的权限管理

迈不过友情╰ 2022-12-15 14:06 196阅读 0赞

**Linux操作系统是一个多用户操作系统，这样就存在资源共享与隔离的问题。**也就是说用户1的资源不愿意让用户2访问，用户3的资源与用户4的资源可以共享；同时，又存在超级用户(Root)访问所有用户资源的可能性。因此在Linux操作系统下就需要一套权限管理的功能。

## 1. 基于用户角色的**自主访问**管理机制 ##

Linux原生的权限管理机制是基于用户角色的管理机制，也就是UGO+RWX/ACL权限控制。

*  UGO是User、Group和Other的简称；RWX则是Read、Write和Execute的简称；
 *  ACL是Access Control List的简称。Linux原生的访问控制也称为自主访问控制。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 1][]

**自主访问控制(Discretionary Access Control, DAC)**是指对象(比如程序、文件、进程)的**所有者**和**超级用户**可以任意修改或者授予此对象相应的权限。这里的拥有者就是指具体的用户，也就是角色（例如root）,可以使用绝对模式（八进制数字模式），符号模式指定文件的权限。这种控制方式的问题在于黑客入侵后可以以该用户的角色执行任何允许的操作。

### 1.1 基于用户角色的自主访问控制原理 ###

从用户角度来说文件的权限是通过rwx字符串表示的，其实在底层实现就是一些**标示位**。如果该位置**1**则表示有该权限，否则没有该权限。这些信息保存在**[文件的inode信息中][inode]**。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 2][]

上图中的**宏定义**就是**Linux内核中对文件权限属性的宏定义**，例如S\_IRUSR表示主权限可读的标示，**这里需要理解的是每个标示占用一个位**。由于底层是**二进制的方式存储**的，chmod也是支持通过**数字**的方式修改其权限属性的。比如执行如下命令：

chmod ugo=rwx file
    chmod 777 file

## **2. 基于标签的强制访问控制** ##

**基于标签的访问控制，**可以通过对程序和将要访问的资源打上**标签**，控制着内核授予每个进程的访问权限，这样程序就可以访问有标签的资源，对于没有标签的资源则不能访问。这种策略被称作**强制访问控制（Mandatory Access Control ，简称MAC**）。其中SELinux就是强制访问控制。

SELinux**通过标签的方式实现对主体与被访问对象的控制**。例如，对于Nginx进程想访问某个目录下的文件，那么需要对Nginx进程和该目录都打上标签，并标注其可访问性，这样Nginx进程才可以访问该目录。

SELinux原理的**核心是规则库（Policy Database）**。当有进程访问资源（例如文件，或者套接字）时，内核中的接口中会通过规则库中的数据进行**匹配**，如果满足要求，则可访问；否则阻止访问，并记录审计日志。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 3][]

SELinux通常并非默认打开的，如果使用该特性需要我们**手动打开**。如果想实时打开SELinux，直接执行如下命令即可。

sudo setenforce 1

但如果想永久生效，则需要修改**SELinux的配置文件，**将SELINUX=disabled修改为enforcing，就可以使SELinux永久生效（需重启系统）。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 4][]

SELINUX=enforcing

permissive：该参数的含义是**只记录日志**，不进行实际的控制。

SELINUXTYPE:  表示该SELinux使用的**规则库**。SELinux默认定义了很多规则库，所以通常情况下，我们只需要开启就可以了。但是有时候也并非如此，此时就需要根据情况定义自己的规则（策略，policy）。

**注意：SELinux 并不是让你摒弃DAC控制，SELinux是一个并行的控制模型，一个应用可以同时受SELiunx和DAC的控制**

参考1：[Linux chmod命令][Linux chmod]

参考2：[Linux下SELinux卡通图解，豁然开悟][Linux_SELinux]

参考3：[Linux文件系统之一：inode节点和inode节点包含的block寻址信息][inode]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20201017151425919.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 1]: /images/20221123/c5753ef0670747d7a358d50a19c309c4.png
[inode]: https://blog.csdn.net/roger_ranger/article/details/78035978
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 2]: /images/20221123/4bb2124ad37f48eaab30634e5562ddbb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 3]: /images/20221123/aab99ec14ee14ba4bbe5b1515dab02fd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTA4OTk5ODU_size_16_color_FFFFFF_t_70 4]: /images/20221123/4bfea042bbbd436880c9cb06ad37e434.png
[Linux chmod]: https://www.runoob.com/linux/linux-comm-chmod.html
[Linux_SELinux]: http://www.360doc.com/content/19/1011/12/11770334_866119203.shtml