第6章 权限管理
📝 Linux学习笔记 - 第6章 🎯 共4节
本章目录
ACL权限
ACL权限简介
ACL是Access Control List的缩写，用于解决用户身份不足的问题。传统的ugo权限模型只有所有者、所属组、其他人三种身份，ACL可以给单个用户分配权限。
查看分区ACL权限是否开启
dumpe2fs -h /dev/sda3
# 查询指定分区详细文件系统信息的命令| 选项 | 说明 |
|---|---|
| -h | 仅显示超级块中信息，而不显示磁盘块组的详细信息 |
临时开启分区ACL权限
mount -o remount,acl /
# 重新挂载根分区，并挂载加入acl权限永久开启分区ACL权限
vi /etc/fstab修改fstab文件，在defaults后面加上acl：
UUID=c2ca6f57-b15c-43ea-bca0-f239083d8bd2 / ext4 defaults,acl 1 1
然后重新挂载：
mount -o remount /查看ACL权限
getfacl 文件名
# 查看acl权限设置ACL权限
setfacl [选项] 文件名| 选项 | 说明 |
|---|---|
| -m | 设定ACL权限 |
| -x | 删除指定的ACL权限 |
| -b | 删除所有的ACL权限 |
| -d | 设定默认ACL权限 |
| -k | 删除默认ACL权限 |
| -R | 递归设定ACL权限 |
给用户设定ACL权限：
setfacl -m u:用户名:权限 文件名
# 例如：setfacl -m u:lisi:rx /project给用户组设定ACL权限：
setfacl -m g:组名:权限 文件名
# 例如：setfacl -m g:test:rwx /project最大有效权限mask
mask是用来指定最大有效权限的。如果我给用户赋予了ACL权限，是需要和mask的权限”相与”才能得到用户的真正权限。
修改最大有效权限：
setfacl -m m:rx 文件名
# 设定mask权限为r-x删除ACL权限
setfacl -x u:用户名 文件名
# 删除指定用户的ACL权限
setfacl -x g:组名 文件名
# 删除指定用户组的ACL权限
setfacl -b 文件名
# 会删除文件的所有的ACL权限递归ACL权限
递归是父目录在设定ACL权限时，所有的子文件和子目录也会拥有相同的ACL权限。
setfacl -m u:用户名:权限 -R 文件名默认ACL权限
默认ACL权限的作用是如果给父目录设定了默认ACL权限，那么父目录中所有新建的子文件都会继承父目录的ACL权限。
setfacl -m d:u:用户名:权限 文件名文件特殊权限
SetUID
SetUID的功能
- 只有可以执行的二进制程序才能设定SUID权限
- 命令执行者要对该程序拥有x（执行）权限
- 命令执行者在执行该程序时获得该程序文件属主的身份（在执行程序的过程中灵魂附体为文件的属主）
- SetUID权限只在该程序执行过程中有效，也就是说身份改变只在程序执行过程中有效
示例：
- passwd命令拥有SetUID权限，所以普通用户可以修改自己的密码
ll /usr/bin/passwd
# -rwsr-xr-x. 1 root root 25980 2月 22 2012 /usr/bin/passwd- cat命令没有SetUID权限，所以普通用户不能查看/etc/shadow文件内容
ll /bin/cat
# -rwxr-xr-x 1 root root 47976 6月 22 2012 /bin/cat设定SetUID的方法
chmod 4755 文件名
# 4代表SUID
# 2代表SGID
# 1代表SBIT
chmod u+s 文件名
# u所有者权限+s（SUID）取消SetUID的方法
chmod 755 文件名
chmod u-s 文件名危险的SetUID
- 关键目录应严格控制写权限。比如”/”、“/usr”等
- 用户的密码设置要严格遵守密码三原则
- 对系统中默认应该具有SetUID权限的文件作一列表，定时检查有没有这之外的文件被设置了SetUID权限
SetGID
SetGID针对文件的作用
- 只有可执行的二进制程序才能设置SGID权限
- 命令执行者要对该程序拥有x（执行）权限
- 命令执行在执行程序的时候，组身份升级为该程序文件的属组
- SetGID权限同样只在该程序执行过程中有效，也就是说组身份改变只在程序执行过程中有效
示例：locate命令
ll /usr/bin/locate
# -rwx--s--x 1 root slocate 35612 8月 24 2010 /usr/bin/locate
ll /var/lib/mlocate/mlocate.db
# -rw-r----- 1 root slocate 1838850 1月 20 04:29 /var/lib/mlocate/mlocate.db- /usr/bin/locate是可执行二进制程序，可以赋予SGID权限
- 执行用户lamp对/usr/bin/locate命令拥有执行权限
- 执行/usr/bin/locate命令时，组身份会升级为slocate组
- 命令结束，lamp用户的组身份返回为lamp组
SetGID针对目录的作用
- 普通用户必须对此目录拥有r和x权限，才能进入此目录
- 普通用户在此目录中的有效组会变成此目录的属组
- 若普通用户对此目录拥有w权限时，新建的文件的默认属组是这个目录的属组
设定SetGID
chmod 2755 文件名
# 2代表SGID
chmod g+s 文件名
# g所属组权限+s（SGID）示例：
cd /tmp/
mkdir dtest
chmod g+s dtest
ll -d dtest/
chmod 777 dtest/
su - lamp
cd /tmp/dtest/
touch abc
ll取消SetGID
chmod 755 文件名
chmod g-s 文件名Sticky BIT
SBIT粘着位作用
- 粘着位目前只对目录有效
- 普通用户对该目录拥有w和x权限，即普通用户可以在此目录拥有写入权限
- 如果没有粘着位，因为普通用户拥有w权限，所以可以删除此目录下所有文件，包括其他用户建立的文件
- 一旦赋予了粘着位，除了root可以删除所有文件，普通用户就算拥有w权限，也只能删除自己建立的文件，但是不能删除其他用户建立的文件
最常见的粘着位目录为/tmp
ll -d /tmp/
# drwxrwxrwt. 3 root root 4096 12月 13 11:22 /tmp/other权限中的 t 就代表粘着位，只有root用户能够赋予粘着位权限
设置与取消粘着位
设置粘着位：
chmod 1755 目录名
chmod o+t 目录名取消粘着位：
chmod 777 目录名
chmod o-t 目录名文件系统属性chattr权限
chattr命令格式
chattr [+-=] [选项] 文件或目录名| 选项 | 说明 |
|---|---|
| + | 增加权限 |
| - | 删除权限 |
| = | 等于某权限 |
| 选项 | 功能 |
|---|---|
| i | 如果对文件设置i属性，那么不允许对文件进行删除、改名，也不能添加和修改数据；如果对目录设置i属性，那么只能修改目录下文件的数据，但不允许建立和删除文件 |
| a | 如果对文件设置a属性，那么只能在文件中增加数据，但是不能删除也不能修改数据；如果对目录设置a属性，那么只允许在目录中建立和修改文件，但是不允许删除 |
| e | Linux中绝大多数的文件都默认拥有e属性。表示该文件是使用ext文件系统进行存储的，而且不能使用chattr -e命令取消e属性 |
查看文件系统属性
lsattr [选项] 文件名| 选项 | 说明 |
|---|---|
| -a | 显示所有文件和目录 |
| -d | 若目标是目录，仅列出目录本身的属性，而不是子文件的 |
系统命令sudo权限
sudo权限
- root把本来只能超级用户执行的命令赋予普通用户执行
- sudo的操作对象是系统命令
sudo使用
visudo
# 实际修改的是/etc/sudoers文件配置格式：
root ALL=(ALL) ALL
%wheel ALL=(ALL) ALL
| 字段 | 说明 |
|---|---|
| 用户名/%组名 | 被授权的用户或组 |
| 被管理主机的地址 | 可使用的身份 |
| 授权命令（绝对路径） | 授权的命令 |
示例：授权sc用户可以重启服务器
visudo
# 添加：
jie ALL= /sbin/shutdown -r now💡 权限可以接具体的参数，这样给到用户的权限更具体，参数越详细权限越小
普通用户执行sudo赋予的命令
su - sc
sudo -l
# 查看可用的sudo命令
sudo /sbin/shutdown -r now
# 普通用户执行sudo赋予的命令⚠️ 注意！！！不要给普通用户赋予vim等类命令的sudo权限，不然就拥有了root的权限