Linux运维学习--Linux系统下的权限管理

喜欢ヅ旅行 2023-06-05 08:15 59阅读 0赞

# 一、文件权限存在的意义 #

*  系统最底层安全设定方法之一
 *  保证文件可以被可用的用户做相应操作

# 二、权限的查看 #

ls -l file		##文件权限的查看
     ls -ld dir		##目录权限的查看
     ll file		##文件权限的查看
     ll -d	dir		##目录权限的查看

示例：  
文件权限的查看：  
![在这里插入图片描述][20191008172215705.png]  
![在这里插入图片描述][20191008213532291.png]  
目录权限的查看：  
![在这里插入图片描述][2019100817232788.png]![在这里插入图片描述][2019100821361649.png]

# 三、文件与目录权限的读取 #

查看文件的权限可以得到以下结果：

- | rw-rw-r--| 1 | kiosk| kiosk | 0 | Oct  2 17:05 | file
     [1]     [2]   [3]   [4]    [5]   [6]      [7]         [8]

分别代表的含义：  
\[1\]文件的类型

<table> 
 <thead> 
  <tr> 
   <th>符号</th> 
   <th>代表的含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>-</td> 
   <td>空文件，或者文本</td> 
  </tr> 
  <tr> 
   <td>d</td> 
   <td>目录</td> 
  </tr> 
  <tr> 
   <td>l</td> 
   <td>软链接</td> 
  </tr> 
  <tr> 
   <td>s</td> 
   <td>socket套接字</td> 
  </tr> 
  <tr> 
   <td>b</td> 
   <td>block块设备</td> 
  </tr> 
  <tr> 
   <td>c</td> 
   <td>字符设备</td> 
  </tr> 
 </tbody> 
</table>

\[2\] 文件的权限

rw-|rw-|r--
      1   2   3
    	1.[u] 文件拥有者对文件能做什么操作
    	2.[g] 文件所有组对文件能做什么操作	
    	3.[o] 其他人对文件能做什么操作

\[3\]

*  **对文件**：文件硬链接个数（文件内容被记录的次数）
 *  **对目录**：目录中子目录的个数

\[4\] 文件的所有人  
\[5\] 文件的所有组  
\[6\]

*  **对文件**：文件大小
 *  **对目录**：目录中子文件元数据（matedata可以理解为文件的属性）大小

\[7\] 文件内容被修改的时间  
\[8\] 文件名

# 四、更改文件和目录的所有人和所有组 #

**可以使用以下命令来更改文件和目录的所有人：**

chown	新所有人名称	文件名		##更改文件所有人，chown=change owner

示例：  
![在这里插入图片描述][20191008215405334.png]

chown	新所有人名称	目录名		##更改目录的所有人

示例：  
![在这里插入图片描述][20191008215522636.png]

chown	-R 	新所有人名称		目录名	##更改目录本身与目录下所有文件的所有人

示例：  
![在这里插入图片描述][20191008215951166.png]  
也可同时更改所有人和所有组：

chown -R 新所有人名称.新组名 目录名	##更改目录本身与目录下所有文件的所有人与所有组，命令中.可以换成：

示例：  
![在这里插入图片描述][20191008220230661.png]  
以下的命令用法也类似：

chgrp	新所有组名称	文件名			##更改文件所有组，chgrp=change group
     chgrp	新所有组名称	目录名			##更改目录的所有组
     chgrp	-R 	新所有组名称		目录名	##更改目录本身与目录下所有文件的所有组

示例：  
更改文件所有组  
![在这里插入图片描述][20191008220807873.png]  
更改目录的所有组  
![在这里插入图片描述][20191008220913430.png]  
更改目录本身与目录下所有文件的所有组  
![在这里插入图片描述][20191008221404589.png]  
![在这里插入图片描述][20191008221410846.png]  
![在这里插入图片描述][20191008221422296.png]

# 五、改变文件的权限 #

**1.对权限的理解**

**r**

*  对文件：是否可以查看文件中的内容 ---->cat file
 *  对目录：是否可以查看目录中有什么子文件或者子目录 ---->ls dir

**w**

*  对文件：是否可以改变文件里面记录的字符
 *  对目录：是否可以对目录中子目录或者子文件的元数据（属性）进行更改

**x**

*  对文件：是否可以通过文件名称调用文件内记录的程序
 *  对目录：是否可以进入目录

**2.更改权限**

chmod	<u|g|o><+|-|=><rwx>	file|dir

示例：

chmod	u+x		/mnt/file1
    chmod	g-r		/mnt/file2

![在这里插入图片描述][20191008222233710.png]

chmod	ug-r		/mnt/file3

![在这里插入图片描述][20191008222427874.png]

chmod	u-r,g+x		/mnt/file4

![在这里插入图片描述][20191008222658902.png]  
其他命令用法也类似：

chmod	-r		/mnt/file5
     chmod	a-r		/mnt/file6
     chmod	o=r-x		/mnt/file7

**3.复制权限**

chmod --reference=file1|dir	file|dir	##复制file1或dir1的权限给file或dir

示例：  
![在这里插入图片描述][20191008223004337.png]  
**4.数字方式指定**  
每种权限所对应的数字如下：

可以使用以下命令来指定权限：

chmod 777 file			##将文件的权限指定为rwxrwxrwx（即777）

示例：  
![在这里插入图片描述][20191008223703273.png]

# 六、umask命令 #

在linux系统中，当创建一个新的文件或者目录时，这些新的文件或目录都会有默认的访问权限，`umask`命令与文件和目录的默认访问权限有关，若用户创建一个文件，则文件的默认访问权限为 `-rw-rw-rw-` ，创建目录的默认权限 `drwxrwxrwx` ，而`umask值`则表明了需要从默认权限中去掉哪些权限来成为最终的默认权限值，`umask值`中第一位与特殊权限有关  
![在这里插入图片描述][20191008224748856.png]

`umask`命令可用来临时设定默认权限：

umask 077	##临时设定系统预留权限为077

示例：  
![在这里插入图片描述][20191008224948987.png]  
上述方法只是临时的修改`umask`值，也可以修改配置文件永久修改`umask`值：

vim /etc/profile		##系统配置文件
     59 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
     60     umask 002		##普通用户的umask
     61 else
     62     umask 022		##超级用户的umask
     63 fi
    
     vim /etc/bashrc			##shell配置文件
     70 if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
     71     umask 002		##普通用户的umask
     72 else
     73     umask 022		##超级用户的umask
     74 fi
    
     source /etc/profile		##让更改立即生效
     source /etc/bashrc

# 七、特殊权限 #

## 粘制位 ##

1.作用：

*  只针对目录生效，当一个目录上有sticky权限时，在这个目录中的文件只能被文件的拥有者删除

2.设定方式：

chmod	o+t	dir
     chmod	1xxx dir

示例：  
使用tom用户创建一个带有粘制位权限的文件夹：  
![在这里插入图片描述][20191009100426369.png]  
试图使用另外一个用户leo删除该目录下的文件时：  
![在这里插入图片描述][20191009100519871.png]

## 强制位 sgid ##

1.作用：

*  对文件： **只针对与二进制可执行文件** 当文件上有`sgid`时任何人执行此文件产生的进程都属于文件的组
 *  对目录： 当目录上有`sgid`权限时任何人在此目录中建立的文件都属于目录的所有组

2.设定方式：

chmod	g+s	file|dir
     chmod	g-s	file|dir		##撤销权限
     chmod	2xxx	file|dir

示例：  
增加与撤销权限：  
![在这里插入图片描述][20191009101543617.png]

## 冒险位 suid ##

1.作用：

*  只针对与二进制可执行文件
 *  当文件上有suid时任何用户执行这个文件中的程序产生的进程都属于文件的所有人

2.设定方式：

chmod	u+s	file
     chmod	u-s	file		##撤销权限
     chmod	4xxx	file

示例：  
增加与撤销权限：  
![在这里插入图片描述][20191009102643869.png]

# 八、acl权限列表 #

**1.作用**

让特定用户对特定文件拥有特定权限

**2.`acl`列表查看**

-rw-rwxr--+ 1 root root 0 Jul 21 15：55 file
    	       ^ 加号表示acl开启

查看`acl`开启的文件的权限：

getacl	file	##查看acl开启的文件的权限

`acl`列表每一行的含义：

#file：file ##文件名称
     #owner：root ##文件拥有者
     #group：root ##文件拥有组
     user：：rw-			##文件拥有人的权限
     user：student：rwx	##指定用户的权限
     group：：r--		##文件拥有组的权限
     group：student：rwx	##指定用户组的权限
     mask：：rwx			##能赋予用户的最大权力阀值
     other：：r--		##其他人的权限

**3.`acl`列表的管理**

设定用户对文件拥有的`rwx`权限

setfacl -m u:username:rwx file		##设定username对file拥有的rwx权限

示例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]

设定组成员对文件拥有的`rwx`权限：

setfacl -m g:group:rwx file		##设定group组成员对file拥有的rwx权限

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]  
从`acl`列表中删除用户：

setfacl -x u:username file		##从acl列表中删除username

示例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]

从`acl`列表中删除组：

setfacl -x g:group file			##从acl列表中删除group组

示例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]  
关闭`acl`权限：

setfacl -b file				##关闭file上的acl列表

示例：  
![在这里插入图片描述][20191009105318332.png]

**4.mask值**

在权限列表中mask表示能生效的权力值，`acl`权限与`mask`权限相与的值相与后的权限，为设定的真实权限

*  如果设定ACL权限为 r-- ,mask的权限为r-x，那么真实权限为r–
 *  如果设定ACL权限为 rwx ，mask权限为r-x，那么真实权限为r-x

设定mask的值：

setfacl -m m：rw  file

示例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]  
当用`chmod`减小开启`acl`的文件权限（g）时mask值会发生改变：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 5]  
**5.`acl`的默认权限设定**

`acl`默认权限只针对目录设定

**注意：**`acl`默认权限设定完成之后新建立的文件或目录生效，而已经存在的文件是不会继承默认权限

setfacl -m d:u:username:rwx dir

示例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 6]

关闭默认权限：

setfacl -k /mnt/westos

# 九、权限优先级排序 #

userperm > acluser > aclgroup > groupperm > otherperm  
即：用户权限> acl用户权限 > acl组权限 > 组权限 > 其他用户权限

# 十、补充：chatter命令 #

用chattr命令可以改变一个文件的隐藏属性。其语法格式为：

chattr [-RVf][-v version] [mode]  files…

几个选项的含义：

<table> 
 <thead> 
  <tr> 
   <th>选项</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>-R</td> 
   <td>递归更改目录下所有子目录和文件的属性</td> 
  </tr> 
  <tr> 
   <td>-V</td> 
   <td>显示详细信息</td> 
  </tr> 
  <tr> 
   <td>-f</td> 
   <td>忽略大部分错误信息</td> 
  </tr> 
  <tr> 
   <td>-v version</td> 
   <td>设置文件的档案号码</td> 
  </tr> 
  <tr> 
   <td>mode</td> 
   <td>设置文件的隐藏属性，其格式为±=[acdeijstuACDST]</td> 
  </tr> 
 </tbody> 
</table>

最关键的是在`[mode]`部分，`[mode]`部分的格式是`+-=[acdeijstuACDST]`，这部分是用来设置文件的属性。其中`+`表示在原有参数设定基础上追加参数；`-`表示在原有参数设定基础上移除参数；`=`表示更新为指定参数。下面列出几个常用的属性参数的含义：

<table> 
 <thead> 
  <tr> 
   <th>属性</th> 
   <th align="left">含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>A</td> 
   <td align="left">文件的atime(access time)不可被修改，这样可以减少磁盘I/O数量，对于笔记本电脑有利于提高续航能力</td> 
  </tr> 
  <tr> 
   <td>S</td> 
   <td align="left">硬盘I/O同步选项，功能类似sync</td> 
  </tr> 
  <tr> 
   <td>a</td> 
   <td align="left">即append，设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性</td> 
  </tr> 
  <tr> 
   <td>i</td> 
   <td align="left">文件不能被删除、改名、设定链接关系，同时不能写入或新增内容（即使是root用户）。只有root才能设定这个属性</td> 
  </tr> 
  <tr> 
   <td>c</td> 
   <td align="left">即compresse，文件会自动的经压缩后再存储，读取时会自动的解压</td> 
  </tr> 
  <tr> 
   <td>d</td> 
   <td align="left">即no dump，设定文件不能成为dump程序的备份目标</td> 
  </tr> 
  <tr> 
   <td>j</td> 
   <td align="left">即journal，设定此参数使得当通过mount参数”data=ordered”或”data=writeback”挂载的文件系统，文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为data=journal，则该参数自动失效</td> 
  </tr> 
  <tr> 
   <td>s</td> 
   <td align="left">即secure，保密选项。设置了s属性的文件在被删除时，其所有数据块会被写入0</td> 
  </tr> 
  <tr> 
   <td>u</td> 
   <td align="left">即undelete，反删除选项。与s相反，文件在被删除时，其所有的数据块都保留着，用户今后可以恢复该文件</td> 
  </tr> 
 </tbody> 
</table>

示例：

chattr =a 1.txt		##将1.txt文件设置为不允许任何人修改

[20191008172215705.png]: /images/20230601/06244dfe79634acd9d12b58d0505c4f2.png
[20191008213532291.png]: /images/20230601/eae48d1ecbbb49e29be1523ca0f64ce9.png
[2019100817232788.png]: https://img-blog.csdnimg.cn/2019100817232788.png
[2019100821361649.png]: /images/20230601/c6ace3d89a9c4c8b82775e0195c25845.png
[20191008215405334.png]: /images/20230601/3941bc56dd97406caa72e0589ad5c569.png
[20191008215522636.png]: /images/20230601/4572fe389b024f858f16ad6fa98e39b3.png
[20191008215951166.png]: /images/20230601/bbd6234789904d19bd28fd374fd1bc6d.png
[20191008220230661.png]: /images/20230601/e62906c62c6f413cb7be9e1179afafe8.png
[20191008220807873.png]: /images/20230601/544b5e20aeea445d8d50303ab181ab30.png
[20191008220913430.png]: /images/20230601/566fa58e7c624f049de4e60361391ae2.png
[20191008221404589.png]: /images/20230601/3e4d25ddfe5a4f70ad460c37b6b98dd0.png
[20191008221410846.png]: /images/20230601/0c65ea0a891549848e0993874d88997f.png
[20191008221422296.png]: /images/20230601/902ad2d6684646f4bf6865fe470c31a4.png
[20191008222233710.png]: /images/20230601/4c0389d31c1441e1a191a9e915ec4cec.png
[20191008222427874.png]: /images/20230601/f58580c78adf40d3a5bd0c9a8e7d2743.png
[20191008222658902.png]: /images/20230601/f570aaccb907433e8f59fc1a7da8d23f.png
[20191008223004337.png]: /images/20230601/c802e107a0f94230a93c50f9f61fc188.png
[20191008223703273.png]: /images/20230601/6524254ced8646d69738b510140f0ada.png
[20191008224748856.png]: /images/20230601/1c341f6fa84a4d389a00d8aa7604e807.png
[20191008224948987.png]: /images/20230601/f9ebe5f2e20b4e9a80690a3553b23e6b.png
[20191009100426369.png]: /images/20230601/2637ce33f84f44a693e5f9afc3cb6a50.png
[20191009100519871.png]: /images/20230601/4de09d8f2df04760adf921ff370fc3d0.png
[20191009101543617.png]: /images/20230601/000841262eaf4722a05eec1b6a4014f4.png
[20191009102643869.png]: /images/20230601/8858340a264a47959cdab06b9d6da7cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]: /images/20230601/b900d9bb48a844968e1bdef9e4beec26.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]: /images/20230601/e329c64e522d426d8a02662035817bdb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]: /images/20230601/01345e5f89d14324b5a036d54979c0a8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]: /images/20230601/57b8deec06ce4ed8bc6ed8188c3376ac.png
[20191009105318332.png]: /images/20230601/80d64adb5bbc47a396d38bc1b58061f9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]: /images/20230601/c76910d917ec4a8b822b9f525bd08a20.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 5]: /images/20230601/016e733709a8408fbb2dceecfb8f2c0e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 6]: /images/20230601/3e6fc3a246424583a7fcd56975eead37.png