Linux之facl----設定檔案訪問控制列表（詳解）

記憶流年發表於2019-05-18
Linux

setfacl命令 是用來在命令列裡設定ACL（訪問控制列表）

選項

-b,--remove-all：刪除所有擴充套件的acl規則，基本的acl規則(所有者，群組，其他）將被保留。
-k,--remove-default：刪除預設的acl規則。如果沒有預設規則，將不提示。
-n，--no-mask：不要重新計算有效許可權。setfacl預設會重新計算ACL mask，除非mask被明確的制定。
--mask：重新計算有效許可權，即使ACL mask被明確指定。
-d，--default：設定預設的acl規則。
--restore=file：從檔案恢復備份的acl規則（這些檔案可由getfacl -R產生）。通過這種機制可以恢復整個目錄樹的acl規則。此引數不能和除--test以外的任何引數一同執行。
--test：測試模式，不會改變任何檔案的acl規則，操作後的acl規格將被列出。
-R，--recursive：遞迴的對所有檔案及目錄進行操作。
-L，--logical：跟蹤符號連結，預設情況下只跟蹤符號連結檔案，跳過符號連結目錄。
-P，--physical：跳過所有符號連結，包括符號連結檔案。
--version：輸出setfacl的版本號並退出。
--help：輸出幫助資訊。
--：標識命令列引數結束，其後的所有引數都將被認為是檔名
-：如果檔名是-，則setfacl將從標準輸入讀取檔名。
  • 選項-m和-x後邊跟以acl規則。多條acl規則以逗號(,)隔開。選項-M和-X用來從檔案或標準輸入讀取acl規則。
  • 選項--set和--set-file用來設定檔案或目錄的acl規則，先前的設定將被覆蓋。
  • 選項-m(--modify)和-M(--modify-file)選項修改檔案或目錄的acl規則。
  • 選項-x(--remove)和-X(--remove-file)選項刪除acl規則。

當使用-M，-X選項從檔案中讀取規則時，setfacl接受getfacl命令輸出的格式。每行至少一條規則，以#開始的行將被視為註釋。

當在不支援ACLs的檔案系統上使用setfacl命令時，setfacl將修改檔案許可權位。如果acl規則並不完全匹配檔案許可權位，setfacl將會修改檔案許可權位使其儘可能的反應acl規則，並會向standard error傳送錯誤訊息，以大於0的狀態返回。

許可權

檔案的所有者以及有CAP_FOWNER的使用者程式可以設定一個檔案的acl。（在目前的linux系統上，root使用者是唯一有CAP_FOWNER能力的使用者）

ACL規則

setfacl命令可以識別以下的規則格式：

[d[efault]:] [u[ser]:]uid [:perms]  指定使用者的許可權，檔案所有者的許可權（如果uid沒有指定）。
[d[efault]:] g[roup]:gid [:perms]   指定群組的許可權，檔案所有群組的許可權（如果gid未指定）
[d[efault]:] m[ask][:] [:perms]     有效許可權掩碼
[d[efault]:] o[ther] [:perms]       其他的許可權

恰當的acl規則被用在修改和設定的操作中，對於uid和gid，可以指定一個數字，也可指定一個名字。perms域是一個代表各種許可權的字母的組合：讀-r寫-w執行-x，執行只適合目錄和一些可執行的檔案。pers域也可設定為八進位制格式。

自動建立的規則

最初的，檔案目錄僅包含3個基本的acl規則。為了使規則能正常執行，需要滿足以下規則。

  • 3個基本規則不能被刪除。
  • 任何一條包含指定的使用者名稱或群組名的規則必須包含有效的許可權組合。
  • 任何一條包含預設規則的規則在使用時，預設規則必須存在。

    ACL的名詞定義

先來看看在ACL裡面每一個名詞的定義，這些名詞我大多從man page上摘下來雖然有些枯燥,但是對於理解下面的內容還是很有幫助的。

ACL是由一系列的Access Entry所組成的，每一條Access Entry定義了特定的類別可以對檔案擁有的操作許可權。Access Entry有三個組成部分：Entry tag type, qualifier (optional), permission。

我們先來看一下最重要的Entry tag type，它有以下幾個型別：

ACL_USER_OBJ：相當於Linux裡file_owner的permission
ACL_USER：定義了額外的使用者可以對此檔案擁有的permission
ACL_GROUP_OBJ：相當於Linux裡group的permission
ACL_GROUP：定義了額外的組可以對此檔案擁有的permission
ACL_MASK：定義了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大許可權 (這個我下面還會專門討論)
ACL_OTHER：相當於Linux裡other的permission

讓我們來據個例子說明一下，下面我們就用getfacl命令來檢視一個定義好了的ACL檔案：

[root@localhost ~]# getfacl ./test.txt
# file: test.txt
# owner: root
# group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw- other::r--

前面三個以#開頭的定義了檔名，file owner和group。這些資訊沒有太大的作用，接下來我們可以用--omit-header來省略掉。

user::rw-       定義了ACL_USER_OBJ, 說明file owner擁有read and write permission
user:john:rw-   定義了ACL_USER,這樣使用者john就擁有了對檔案的讀寫許可權,實現了我們一開始要達到的目的
group::rw-      定義了ACL_GROUP_OBJ,說明檔案的group擁有read and write permission
group:dev:r--   定義了ACL_GROUP,使得dev組擁有了對檔案的read permission
mask::rw-       定義了ACL_MASK的許可權為read and write
other::r--      定義了ACL_OTHER的許可權為read

從這裡我們就可以看出ACL提供了我們可以定義特定使用者和使用者組的功能，那麼接下來我們就來看一下如何設定一個檔案的ACL：

如何設定ACL檔案

首先我們還是要講一下設定ACL檔案的格式，從上面的例子中我們可以看到每一個Access Entry都是由三個被：號分隔開的欄位所組成，第一個就是Entry tag type。

user   對應了ACL_USER_OBJ和ACL_USER
group  對應了ACL_GROUP_OBJ和ACL_GROUP
mask   對應了ACL_MASK
other  對應了ACL_OTHER

第二個欄位稱之為qualifier，也就是上面例子中的john和dev組，它定義了特定使用者和擁護組對於檔案的許可權。這裡我們也可以發現只有user和group才有qualifier，其他的都為空。第三個欄位就是我們熟悉的permission了。它和Linux的permission一樣定義，這裡就不多講了。

下面我們就來看一下怎麼設定test.txt這個檔案的ACL讓它來達到我們上面的要求。

一開始檔案沒有ACL的額外屬性：

[root@localhost ~]# ls -l
-rw-rw-r-- 1 root admin 0 Jul 3 22:06 test.txt

[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw- group::rw- other::r--

我們先讓使用者john擁有對test.txt檔案的讀寫許可權：

[root@localhost ~]# setfacl -m user:john:rw- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
mask::rw-
other::r--

這時我們就可以看到john使用者在ACL裡面已經擁有了對檔案的讀寫權。這個時候如果我們檢視一下linux的permission我們還會發現一個不一樣的地方。

[root@localhost ~]# ls -l ./test.txt
-rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./test.txt

在檔案permission的最後多了一個+號，當任何一個檔案擁有了ACL_USER或者ACL_GROUP的值以後我們就可以稱它為ACL檔案，這個+號就是用來提示我們的。我們還可以發現當一個檔案擁有了ACL_USER或者ACL_GROUP的值時ACL_MASK同時也會被定義。

接下來我們來設定dev組擁有read permission：

[root@localhost ~]# setfacl -m group:dev:r-- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--

到這裡就完成了我們上面講到的要求，是不是很簡單呢。

ACL_MASK和Effective permission

這裡需要重點講一下ACL_MASK，因為這是掌握ACL的另一個關鍵，在Linux file permission裡面大家都知道比如對於rw-rw-r--來說, 當中的那個rw-是指檔案組的permission. 但是在ACL裡面這種情況只是在ACL_MASK不存在的情況下成立。如果檔案有ACL_MASK值，那麼當中那個rw-代表的就是mask值而不再是group permission了。

讓我們來看下面這個例子：

[root@localhost ~]# ls -l
-rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh

這裡說明test.sh檔案只有file owner: root擁有read, write, execute/search permission。admin組只有read and write permission，現在我們想讓使用者john也對test.sh具有和root一樣的permission。

[root@localhost ~]# setfacl -m user:john:rwx ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx user:john:rwx
group::rw-
mask::rwx
other::r--

這裡我們看到john已經擁有了rwx的permission，mask值也被設定為rwx，那是因為它規定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最大值，現在我們再來看test.sh的Linux permission，它已經變成了：

[root@localhost ~]# ls -l
-rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh

那麼如果現在admin組的使用者想要執行test.sh的程式會發生什麼情況呢？它會被permission deny。原因在於實際上admin組的使用者只有read and write permission，這裡當中顯示的rwx是ACL_MASK的值而不是group的permission。

所以從這裡我們就可以知道，如果一個檔案後面有+標記，我們都需要用getfacl來確認它的permission，以免發生混淆。

下面我們再來繼續看一個例子，假如現在我們設定test.sh的mask為read only，那麼admin組的使用者還會有write permission嗎？

[root@localhost ~]# setfacl -m mask::r-- ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx
user:john:rwx   #effective:r--
group::rw-      #effective:r--
mask::r--
other::r--

這時候我們可以看到ACL_USER和ACL_GROUP_OBJ旁邊多了個#effective:r–，這是什麼意思呢？讓我們再來回顧一下ACL_MASK的定義。它規定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最大許可權。那麼在我們這個例子中他們的最大許可權也就是read only。雖然我們這裡給ACL_USER和ACL_GROUP_OBJ設定了其他許可權，但是他們真正有效果的只有read許可權。

這時我們再來檢視test.sh的Linux file permission時它的group permission也會顯示其mask的值(i.e. r–)

[root@localhost ~]# ls -l
-rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh

Default ACL

上面我們所有講的都是Access ACL，也就是對檔案而言。下面我簡單講一下Default ACL。Default ACL是指對於一個目錄進行Default ACL設定，並且在此目錄下建立的檔案都將繼承此目錄的ACL。

同樣我們來做一個試驗說明，比如現在root使用者建立了一個dir目錄：

[root@localhost ~]# mkdir dir

他希望所有在此目錄下建立的檔案都可以被john使用者所訪問，那麼我們就應該對dir目錄設定Default ACL。

[root@localhost ~]# setfacl -d -m user:john:rw ./dir
[root@localhost ~]# getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x

這裡我們可以看到ACL定義了default選項，john使用者擁有了default的read, write, excute/search permission。所有沒有定義的default都將從file permission裡copy過來，現在root使用者在dir下建立一個test.txt檔案。

[root@localhost ~]# touch ./dir/test.txt
[root@localhost ~]# ls -l ./dir/test.txt
-rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./dir/test.txt

[root@localhost ~]# getfacl --omit-header ./dir/test.txt
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r--

這裡我們看到在dir下建立的檔案john使用者自動就有了read and write permission，

ACL相關命令

前面的例子中我們都注意到了getfacl命令是用來讀取檔案的ACL，setfacl是用來設定檔案的Acess ACL。這裡還有一個chacl是用來改變檔案和目錄的Access ACL and Default ACL，它的具體引數大家可以去看man page。我只想提及一下chacl -B。它可以徹底刪除檔案或者目錄的ACL屬性(包括Default ACL)，比如你即使用了setfacl -x刪除了所有檔案的ACL屬性，那個+號還是會出現在檔案的末尾，所以正確的刪除方法應該是用chacl -B用cp來複制檔案的時候我們現在可以加上-p選項。這樣在拷貝檔案的時候也將拷貝檔案的ACL屬性，對於不能拷貝的ACL屬性將給出警告。

mv命令將會預設地移動檔案的ACL屬性，同樣如果操作不允許的情況下會給出警告。

需要注意的幾點

如果你的檔案系統不支援ACL的話，你也許需要重新mount你的file system：

mount -o remount, acl [mount point]

如果用chmod命令改變Linux file permission的時候相應的ACL值也會改變，反之改變ACL的值，相應的file permission也會改變。

相關文章