檔案許可權

1.檔案許可權存在的意義

系統最底層安全設定方法之一，保證檔案可以被可用的使用者做相應操作

2.檔案許可權的檢視，之前實驗過，此處不再貼圖

ls  -l       file    ##檢視檔案
ls  -ld      dir     ##檢視目錄
ll           file    ##檢視檔案
ll  -d       dir     ##檢視目錄

3.檔案許可權的讀取

-  |rw-rw-r--| 1 |kiosk | kiosk | 0 | Jul 21 09:18 | file

[1]      [2]      [3]    [4]        [5]    [6]            [7]           [8]

[1]

檔案的型別

-    ##空檔案，或者文字
d    ##目錄
l    ##軟連結,快捷方式
s    ##socket套接字
b    ##block塊裝置
c    ##字元裝置

如上圖，file為-就是檔案，而lei為d是目錄

[2]
檔案的許可權
rw-|rw-|r--
 1     2   3

1.[u] 檔案擁有者對檔案能做什麼操作
2.[g] 檔案所有組對檔案能做什麼操作
3.[o] 其他人對檔案能做什麼操作

如上圖，對於檔案file來說，使用者可讀可寫，使用者組student可讀可寫，而其他人只可讀取

[3]
對檔案：檔案硬連結個數（檔案內容被記錄的次數）
對目錄：目錄中子目錄的個數

[4]
檔案的所有人

所有人為student

[5]
檔案所有組

使用者所在的組是student

[6]
對檔案：檔案大小
對目錄：目錄中子檔案元資料（matedate可以理解為檔案的屬性）大小
[7]
檔案的內容被修改的時間

[8]
檔案的名稱

4.如何改變檔案的所有人和所有組

chown|chgrp

chown   username          file|dir            ##改變檔案或者目錄的擁有者
chown   user.group        file|dir            ##改變檔案或者目錄的擁有者和所屬的組
chown   -R  user.group    dir                 ##改變整個目錄的擁有者和所屬的組

chgrp    group            file|dir            ##改變檔案或者目錄的所屬組
chgrp    -R    group      dir                 ##改變整個目錄的所屬組
 

5.如何改變檔案的許可權
1.對許可權的理解

r
    對檔案：是否可以檢視檔案中的內容   --->cat file
    對目錄：是否可以檢視目錄中有什麼子檔案或者子目錄 ---> ls dir
w
    對檔案：是否可以改變檔案裡面記錄的字元，新增修改刪除檔案的內容
    對目錄：是否可以對目錄中子目錄或子檔案的元資料進行更改，新建，刪除，修改，移動目錄內檔案
x
    對檔案：是否可以通過檔名稱呼叫檔案內記錄的程式
    對目錄：是否可以進入目錄

2.更改方式

chmod     <u|g|o><+|-|=><r|w|x>    file|dir        ##模板

chmod     u+x      /mnt/file1                      ##給所有者新增加執行許可權
chmod     g-r      /mnt/file2                      ##給所屬組減去可讀許可權
chmod     ug-r     /mnt/file3                      ##給所有者和所屬組減去可讀許可權
chmod     u-r,g+x  /mnt/file4                      ##給所有者減去可讀許可權，給所有組增加
chmod     -r       /mnt/file5                      ##給所有者和所屬組和所有人都去掉可讀許可權
chmod     o=r-x    /mnt/file6                      ##其他人可讀可寫

注：chmod +x，r，w時預設所有使用者和組和其他人都增加所對應的許可權

注    chmod =x，r，w時預設所有使用者和組和其他人都刪除所有的許可權，然後重新賦予等號後的許可權

rwx  三種許可權分別對應  r=4 w=2 x=1

r-x|r--|--x
 5   4   1

chmod 541 lei         ##使file1檔案的擁有者可讀可執行，所屬組可寫，其他人可執行

7=rwx
6=rw-
5=r-x
4=r--
3=-wx
2=-w-
1=--x
0=---

6.umask

umask             ## 系統建立檔案是預設保留的權力
umask  077        ## 臨時設定系統預留許可權為077

永久更改umask

vim /etc/profile               ##系統配置檔案

59 if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
60     umask 002                        ##普通使用者的umask
61 else
62     umask 077                         ##超級使用者的umask
63 fi

vim /etc/bashrc                ##shell配置檔案 

70     if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
71        umask 002
72     else
73        umask 077
74     fi

source /etc/profile        #讓更改立即生效
source /etc/bashrc

7.特殊許可權
1.sticky                     ##粘制位
作用：
    只針對目錄生效，當一個目錄上有sticky許可權時
    在這個目錄中的檔案只能被檔案的所有者刪除

設定方式：

chmod   o+t      dir
chmod   1xxx     dir

2.sgid                       ##強制位
作用
    對檔案：    只針對與二進位制可執行檔案
            當檔案上有sgid時任何人執行此檔案產成的程序都屬於檔案的組
    對目錄：
            當目錄上有sgid許可權時任何人在此目錄中建立的檔案都屬於目錄的所有組

   設定方式

chmod g+s  file|dir
chmod 2xxx file|dir

3.suid                           ##冒險位
    只針對與2進位制可執行檔案
    當檔案上有suid時任何人執行這個檔案中記的程式產生的程序都屬於檔案的所有人
    
設定方式

chmod u+s  file
chmod 4xxx file

acl許可權列表
1.作用
    讓特定的使用者對特定的檔案擁有特定許可權

2.acl列表檢視
    -rw-rwxr--+ 1 root root 0 Jul 21 15:45 file
               ^    
        acl開啟

getfacl file    ##檢視acl開啟的檔案的許可權

file: lei                  ##檔名稱
owner: kiosk               ##檔案擁有者
group: kiosk               ##檔案擁有組
user::rw-                  ##檔案擁有人的許可權
user:kiosk:rwx             ##指定使用者的許可權
group::rw-                 ##檔案擁有組的權力
mask::rwx                  ##能賦予使用者的最大權力伐值
other::r--                 ##其他人的許可權

3.acl列表的管理

setfacl  -m u:username:rwx file          ##設定username對file擁有rwx許可權
setfacl  -m g:group:rwx    file          ##設定group組成員對file擁有rwx許可權
setfacl  -x u:username     file          ##從acl列表中刪除username
setfacl  -b file                         ##關閉file上的acl列表

 4.mask值
在許可權列表中mask標示能生效的權力值
當用chmod減小開啟acl的檔案許可權時mask值會發生改變

例如輸入chmod g-w westos時，mask的值會發生變化

如果要恢復mask值

setfacl  -m u:student:rwx lcz/lei

5.acl的預設許可權設定
acl預設許可權只針對目錄設定
"acl許可權只針對設定完成之後新建立的檔案或目錄生效，而已經存在的檔案是不會繼承預設許可權"

setfacl -m d:u:student:rwx /mnt/westos      ##加上預設許可權
setdacl -k /mnt/westos                      ##去掉預設許可權