學(xué)習(xí)目標(biāo)

1、知道為什么要設(shè)置權(quán)限

2、linux中的權(quán)限類(lèi)別和身份類(lèi)別

3、掌握文件和文件夾權(quán)限的設(shè)置方法(字母和數(shù)字)

4、掌握文件和文件夾的屬主屬組設(shè)置方法

5、了解粘滯位

6、知道為什么要使用ACL

7、掌握ACL的使用方法

在多用戶(hù)計(jì)算機(jī)系統(tǒng)的管理中，權(quán)限是指某個(gè)特定的用戶(hù)具有特定的系統(tǒng)資源使用權(quán)利。

2、文件權(quán)限詳解

Linux 中存在三類(lèi)身份：

屬主(owner擁有者)

屬組(group用戶(hù)組)

其他用戶(hù)(others)

各自有不同的權(quán)限，對(duì)于一個(gè)文檔來(lái)說(shuō)，其權(quán)限具體分配如下：

用法五：chmod -R 要賦予的權(quán)限 文件夾

示例代碼：

#chmod -R a=rwx quanxianfolder

含義：對(duì)于quanxianfolder文件夾，給所有用戶(hù)（屬主，屬組，其他），都 賦予 讀，寫(xiě)，執(zhí)行權(quán)限

如果只想給屬主和屬組賦予讀寫(xiě)權(quán)限，要怎么寫(xiě)？

答：u+rw,g+rw

如果同時(shí)去掉屬組和其他的寫(xiě)權(quán)限，要怎么寫(xiě)？

答：g-w,o-w

總結(jié)：

權(quán)限設(shè)置要考慮的因素：

首先：

給誰(shuí)設(shè)置？

u   可以給屬主設(shè)置權(quán)限

g    可以給屬組設(shè)置權(quán)限

o    可以給其他用戶(hù)設(shè)置權(quán)限

ugo    給所有用戶(hù)設(shè)置權(quán)限(主+組+其他)

a    給所有用戶(hù)設(shè)置權(quán)限

第二：

怎么設(shè)置？

+    添加權(quán)限

-    減少權(quán)限

=   賦予權(quán)限

第三：

增加減少或者賦予什么權(quán)限？

r    讀

w    寫(xiě)

x    執(zhí)行

技巧：不要背上面的表格，只要記住R，W，X對(duì)應(yīng)4,2,1，之后做10以?xún)?nèi)加法

問(wèn)題：用超級(jí)管理員設(shè)置文檔的權(quán)限命令是# chmod -R 731 shop，請(qǐng)問(wèn)這個(gè)命令有沒(méi)有什么不合理的地方？

3）請(qǐng)?jiān)O(shè)置/root/email.doc權(quán)限，權(quán)限要求只有屬主可以讀寫(xiě)，除此之外任何人沒(méi)有權(quán)限；

4、特別說(shuō)明

在Linux 中，如果要?jiǎng)h除一個(gè)文件，不是看文件有沒(méi)有對(duì)應(yīng)的權(quán)限，而是看文件所在的目錄是否有寫(xiě)權(quán)限，如果有才可以刪除（同時(shí)必須具備執(zhí)行權(quán)限）。

2、為什么要修改屬主與屬組?

舉例：

一個(gè)財(cái)務(wù)表格，以前由胡一菲進(jìn)行更新，她有讀寫(xiě)權(quán)限，現(xiàn)在胡一菲去阿拉善沙漠找曾老師了，改權(quán)限沒(méi)用，需要把屬主改成諸葛大力，由諸葛大力更新。

3、chown修改文件的屬主

基本語(yǔ)法： # chown [-R] 新文檔擁有者名稱(chēng) 文檔路徑

作用：更改文檔的所屬用戶(hù)(change owner)

選項(xiàng)：-R 代表遞歸修改文件的屬主

示例代碼1：將readme.txt文檔屬主更改為itheima

#touch readme.txt

#ll readme.txt

#chown itheima readme.txt

將readme.txt文件的屬主設(shè)置為itheima

#ll readme.txt

示例代碼2：將shop文件夾的擁有者更改為itheima

4、chgrp修改文件的屬組

基本語(yǔ)法： # chgrp [-R] 新文檔組名稱(chēng) 文檔的路徑

作用：更改文檔的所屬用戶(hù)組（change group）

示例代碼1：將readme.txt文檔所屬組修改為itcast

5、chown同時(shí)修改屬主與屬組(重點(diǎn))

問(wèn)題：如何通過(guò)一個(gè)命令實(shí)現(xiàn)既可以更改所屬的用戶(hù)，也可以修改所屬的

用戶(hù)組呢？

答：使用 chown 命令

基本語(yǔ)法： 語(yǔ)法：# chown [-R] username:groupname 文檔路徑

示例代碼：將readme.txt文件的擁有者與所屬組都更改為root

#ll readme.txt

#chown root:root readme.txt

將readme.txt文件的屬主和屬組同時(shí)設(shè)置為root

#ll readme.txt

一般來(lái)說(shuō)，這個(gè)指令(chown)只有是由系統(tǒng)管理者(root)所使用，普通用戶(hù)沒(méi)有權(quán)限可以改變別人的檔案擁有者，也沒(méi)有權(quán)限可以將自己的檔案擁有者改設(shè)為別人。只有系統(tǒng)管理者(root)才有這樣的權(quán)限。

四、特殊權(quán)限(擴(kuò)展)

1、設(shè)置位S(SetUid)

作用：為了讓一般使用者臨時(shí)具有該文件所屬主/組的執(zhí)行權(quán)限。

例如：/usr/bin/passwd在執(zhí)行它的時(shí)候需要去修改/etc/passwd和/etc/shadow等文件，這些文件除了root外，其他用戶(hù)都沒(méi)有寫(xiě)權(quán)限，但是又為了能讓普通用戶(hù)修改自己的密碼，該怎么辦呢?

答：可以臨時(shí)讓他們具有root的權(quán)限，而這個(gè)s權(quán)限就是用來(lái)完成這個(gè)特殊任務(wù)的。s權(quán)限只能應(yīng)用在二進(jìn)制的可執(zhí)行文件上。

示例代碼：不想讓普通用戶(hù)修改自己的密碼

注：which命令可以用于查看二進(jìn)制可執(zhí)行文件所在位置

去除s權(quán)限，基本語(yǔ)法：

常用選項(xiàng)：
        o+t 添加粘滯位
        o-t 去掉粘滯位

用法：chmod o+t 目錄名

示例代碼：

#chmod o+t

含義：給目錄增加粘滯位權(quán)限。

舉例：

公司多個(gè)部門(mén)公用一個(gè)文件夾work,為了讓所有人都能訪(fǎng)問(wèn)，work文件夾賦予了777權(quán)限，用戶(hù)root新建了一個(gè)文件root.txt，發(fā)現(xiàn)被別人刪除了。我們希望root建立的文件，只有root自己可以刪。

步驟1：root用戶(hù)下操作

root用戶(hù)新建文件夾/work，并且新建兩個(gè)文件root.txt和root1.txt，賦予/work文件夾和下面的文件777權(quán)限

#mkdir /work
#cd /work

#touch root.txt

#touch root1.txt

#chmod -R 777 /work

#ll -d /work

步驟2： wangwu用戶(hù)下操作

在沒(méi)有設(shè)置粘滯位的時(shí)候，wangwu可以刪除root創(chuàng)建的文件。

cd /work

ll -d /work

ll

rm -rf root.txt

ll

步驟3：root用戶(hù)下操作:給/work文件夾添加粘滯位

#ll -d /work/

#chmod o+t /work

#ll -d /work/

步驟4：wangwu用戶(hù)下操作

發(fā)現(xiàn)添加粘滯位后，無(wú)法刪除root2.txt文件

#ll -d /work/

#chmod o+t /work

#ll -d /work/

步驟5：root用戶(hù)下操作

去掉/work文件夾的取消粘滯位

#ll -d /work/

#chmod o-t /work

#ll -d /work/

步驟6：wangwu用戶(hù)下操作

wangwu用戶(hù)下，發(fā)現(xiàn)又可以刪除了

#cd /work/

#rm -rf root1.txt

#ll

五、ACL訪(fǎng)問(wèn)控制

問(wèn)題：我們學(xué)過(guò)的所有者身份包含哪些？

答案:ugo,屬主，屬組，其他。

問(wèn)題：我們學(xué)過(guò)的文件權(quán)限包含哪些？

答案：rwx，讀寫(xiě)執(zhí)行，特殊s,t

ACL，是 Access Control List(訪(fǎng)問(wèn)控制列表)的縮寫(xiě)，在 Linux 系統(tǒng)中， ACL 可實(shí)現(xiàn)對(duì)單一用戶(hù)設(shè)定訪(fǎng)問(wèn)文件的權(quán)限。

1、基本命令

getfacl命令：查看文件的ACL策略及權(quán)限

setfacl命令： 給文件針對(duì)某個(gè)用戶(hù)或者某個(gè)組來(lái)增加(設(shè)置)ACL策略

3、setfacl命令

-m ： 修改acl策略

-x ：去掉某個(gè)用戶(hù)或者某個(gè)組的權(quán)限

-b ：刪除所有的acl策略

-R ：遞歸,通常用在文件夾

mask：mask定義除other和所有人(擁有者)外的最大權(quán)限

setfacl -m u:用戶(hù)名:rwx /usr/local/shichangbu 給單個(gè)用戶(hù)單獨(dú)加權(quán)限

setfacl -m g:用戶(hù)組名:rwx /usr/local/shichangbu 給單個(gè)組單獨(dú)加權(quán)限

setfacl -x u:用戶(hù) /usr/local/shichangbu 去掉某個(gè)用戶(hù)的權(quán)限

setfacl -x g:組名 /usr/local/shichangbu 去掉某個(gè)組的acl策略

setfacl -b -R /usr/local/shichangbu 刪除所有的acl策略,遞歸子文件

例如：

setfacl -m u:user01:rw file1 針對(duì)于單個(gè)用戶(hù)給可讀可寫(xiě)權(quán)限

setfacl -m g:sysadmin:rw file1 針對(duì)于單個(gè)組給可讀可寫(xiě)權(quán)限

示例代碼1：給newuser01用戶(hù)單獨(dú)在市場(chǎng)部文件夾上增加rx權(quán)限

#mkidr /shichangbu

#cd /shichangbu

驗(yàn)證newuser01用戶(hù)對(duì)于file1文件只有讀權(quán)限

#touch file{1..5}.txt

#chown -R root:itheima shichangbu/

遞歸設(shè)置shichangbu文件夾的屬主是root，屬組是itheima

#getfacl shichangbu/

#useradd newuser01

#passwd newuser01

#setfacl -m u:newuser01:rx -R /usr/local/shichangbu/

單獨(dú)設(shè)置newuser01對(duì)于shichangbu文件夾的rx權(quán)限，并且遞歸包含所有子文件

#getfacl /usr/local/shichangbu

查看/usr/local/shichangbu文件夾的ACL權(quán)限

驗(yàn)證newuser01用戶(hù)對(duì)于file1文件只有讀權(quán)限

666 -> -rw-rw-rw-

注：這個(gè)特殊情況僅出現(xiàn)在文件，因?yàn)槲募二進(jìn)制文件除外]沒(méi)有x執(zhí)行權(quán)限)， 所以，查看文件的umask時(shí)我們要特別注意是否有奇數(shù)位（x表示1）

3、修改umask值

umask + 數(shù)值修改當(dāng)前用戶(hù)的umask 如： # umask 044

不過(guò)這樣設(shè)置的umask會(huì)在用戶(hù)重新登錄的時(shí)候恢復(fù)原來(lái)的值，我們可以把修改的umask保存在~/.bashrc
操作步驟：

#vim ~/.bashrc

① 在文件末尾添加umask 044

② 保存退出

③ 重新登錄用戶(hù)則保存成功

示例代碼：