Linux权限管理详解

Posted 2020-10-16

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Linux权限管理详解相关的知识，希望对你有一定的参考价值。

Linux权限管理详解

1、Linux 的基本权限：

（1）Linux的基本权限说明

-rw-r--r-- 1 root root 08-11 01:45 aa.txt

权限位是十位

第一位：代表文件类型

- 普通文件

d 目录文件

l 链接文件

b 块设备文件

c 字符设备文件

s 套接字

p 管道

其余九位

读写执行读写执行读写执行

r w x r w x r w x

4 2 1 4 2 1 4 2 1

文件所有者（u）文件所属组（g）其他用户（o）

读 r（4）：允许查看文件内容；允许显示目录内的文件列表

写 w（2）：允许修改文件内容；允许对目录内的文件进行添加、删除、移动

执行 x（1）：允许文件文件执行；允许目录的切换

（2）文件归属

所有者（属主）：拥有该文件或目录的用户

所属组（属组）：用户改文件或目录的组

（3）修改文件权限的命令及用法

命令名称：chmod

命令英文原意：change the permissions mode of a file

命令所在路径：/bin/chmod

功能描述：修改文件的权限

例：

chmod u+x aa 给aa文件的所有者添加x权限

chmod g+w,o+w aa 给aa文件的所属组和其他人添加w权限

chmod u=rwx aa 给aa文件的所有者赋予rwx权限

chmod 644 aa 修改aa文件的权限为644，对应为rw-r--r—

chmod -R 777 aa 递归修改aa目录及其子目录和文件权限为777

-R 递归修改目录下子选项的权限

说明：对文件有写权限，只代表可以修改这个文件；要想删除文件，需要对文件所在目录有写权限，只要对目录有写权限，目录中的文件，就算是 root 创建的，普通用户一样能删

除。目录一般都同时有 r-x 权限，如果一个目录只有 r 却没有 x，你能用 ls 查看，却

不能 cd 进去！

（4）文件或目录的所有者和所属组修改

命令名称：chown

命令英文原意：change file ownership

命令所在路径：/bin/chown

功能描述：修改文件或目录的所有者、所属组

例：

chown user1 aa 将aa文件的所有者修改为user1用户

chown user1:user1 aa 将aa文件的所有者修改为user1用户并且所属组修改为user1组

chown :user1 aa 将aa文件的所属组修改为user1组

chown -R [属主:属组] 目录递归修改目录和文件的所有者和所属组

命令名称：chgrp

命令英文原意：change file group ownership

命令所在路径：/bin/chgrp

功能描述：改变文件或目录的所属组

语法：chgrp 用户组文件或目录

例：chgrp adm file1 改变文件file1的所属组为adm

命令名称：umask

功能描述：显示和设置默认掩码值

777

-022

--------------

755

就是创建文件的默认权限

总结：Linux的安全机制，不给新建文件x权限。

2、ACL 权限

（1）ACL权限的介绍

Linux基本的权限控制仅可以对所属用户、所属组、其他用户进行的权限控制，而不能精确地控制每个用户的权限。ACL规则就是用来解决这个问题的。使用ACL规则，我们可以针对单一账户设置文件及目录的访问权限。在centos7中xfs文件系统中默认开启了ACL权限

（2）ACL 权限的使用

格式：setfacl [选项] {-m|-x} {u:username:rwx} 文件或目录

选项：

-m ：添加 ACL 权限

-x ：删除某项 ACL 权限

-b ：清空所有 ACL 权限

-R ：实现目录上 ACL 权限的递归

d ：设置默认 ACL 权限

例 1：添加 ACL 权限

setfacl –m u:u1:rwx a.txt 添加 u1 用户对 a.txt 文件的 rwx 权限

例 2：删除某项 ACL 权限

setfacl -x u:u1 a.txt 删除 u1 用户在 a.txt 文件上的 ACL 权限

例 3：清空所有 ACL 权限

setfacl -b a.txt 清空在 a.txt 文件上的所有 ACL 权限

例 4：实现目录上 ACL 权限的递归（目录）

setfacl -R –m u:u2:rwx aa 添加 u1 用户对 aa 目录以及目录内子选项的 rwx 权限

例 5：设置默认 ACL 权限（目录）

空目录：

setfacl -m d:u:u3:rwx bb

添加 u3 用户对目录 bb 的 rwx 权限，并且在 bb 目录里新建的文件 u3用户都有 rwx 权限

非空目录：

setfacl –m d:u:u3:rwx bb

setfacl -R –m u:u3:rwx bb

第一条设置默认权限，第二条递归设置 ACL 权限

注：前五个例子使用的 u 均可换成 g，然后实现特殊组对文件的 ACL 权限

例 6：设置最大有效权限 mask（目录）

setfacl -m m:rx cc 为 cc 目录添加默认最大权限为 rx，其他 ACL 权限不得超出此权限

3、sudo 授权

（1）sudo授权的介绍

在企业实践中，不是每一个系统管理员都能用 root 来管理服务器，所以需要给普通用户赋予一部分超级管理员权限。然后普通用户在使用超级管理员的命令时前面加上sudo 命令就可以正常使用超级管理员的命令了。/sbin和/usr/sbin里面的命令只有超级管理员才能执行，这个时候，就需要root来使用sudo授权普通用户使用部分超级用户才能使用的命令了。

（2）sudo授权的系统验证步骤

1. 当普通用户执行/sbin 或/usr/sbin 下的命令时，系统会查询/etc/sudoers 文件中是否有 root 给的授权

2. 当查询普通用户已拥有授权后，需要输入普通用户的密码来确认用户身份

3. 若密码输入成功后，则执行对应已经授权的命令

（3）sudo授权的方法

给普通用户授权使用超级用户命令方法一般是使用visudo命令来打开/etc/sudoers这个配置文件来给普通用户授权，普通用户使用这些被授权的超级用户命令时，只需在命令的前面添加上sudo加空格即可执行这些授权的超级用户命令。

注意：/etc/sudoers 文件内有固定语法结构，使用其它文档编辑器可能会造成配置文件出现错误，所以必须使用 visudo 命令打开该配置文件

## Allow root to run any commands anywhere

root ALL=(ALL) ALL

a1 192.168.115.0/24=(ALL) ALL

上面的元素介绍：

root或a1：系统的哪个用户能使用 sudo 命令，即被授权者。也可以是组，组要在前面加%表示

ALL或某个网段：可以被管理的服务器的网络地址，写自己或 ALL 代表任何来源地址都可以管理本台服务器，192.168.115.0/24代表这个网段的服务器可以执行sudo授权的命令。

(ALL)或某个权限较大的用户：是以谁的身份来执行，ALL:ALL 就代表 root 可以任何人的身份来执行命令。

ALL或命令的绝对路径：可以使用什么命令，多条命令用逗号隔开（必须写绝对路径）

例 1：给 admin 用户赋予 root 所有命令权限

admin ALL=（ALL） ALL

例 2：授权 zhangsan 用户可以重启服务器

zhangsan ALL=（root） /sbin/shutdown -r now

例 3：授权 web 用户可以管理 IP：192.168.110.39 的 web 服务器

NO.1：可以使用 Apache 管理脚本

web 192.168.110.39=（root） /etc/rc.d/init.d/httpd reload，/etc/rc.d/init.d/httpd configtest

reload 重新加载配置文件使之生效；configtest 检查配置文件是否有语法错误。

NO.2：可以修改 Apache 的配置文件

web 192.168.110.39=(root) /bin/vi /etc/httpd/conf/httpd.conf

sudo 不仅仅能授权超级管理员的命令，还能授权普通命令以及详细选项和参数。

NO.3：可以更新网页文件

设置合理权限即可（w），可以通过给/var/www/html目录设置ACL权限，让 web 用户对/var/www/html 有写权限即可。

例 4：授权 add 用户可添加普通用户

add ALL=/usr/sbin/useradd 让 add 用户可以添加普通用户

add ALL=/usr/bin/passwd [A-Za-z]* ， !/usr/bin/passwd“”，!/usr/bin/passwd root

让 add 用户可以给新添加用户修改密码，不允许修改 root 用户的密码

4、文件特殊权限

（1）SetUID 权限

1、当一个具有执行权限的文件设置 SetUID 权限后，用户执行这个文件时将以文件所有者的身份执行

特点：

2、只有可以执行的二进制程序才能设定 SUID 权限

3、命令执行者要对该程序拥有 x（执行）权限

4、命令执行者在执行该程序时获得该程序文件属主的身份（在执行程序的过程中灵魂附体为文件的属主）

5、SetUID 权限只在该程序执行过程中有效，也就是说身份改变只在程序执行过程中有效

例：普通用户使用/usr/bin/passwd命令修改自己的密码

普通用户使用/usr/bin/passwd 的那一瞬间临时调用了 root 的身份，进行对/etc/passwd 和/etc/shadow 进行了修改，当信息修改完成后，立即释放 root 身份变回了自己普通用户的身份。

注意：如果取消了/usr/bin/passwd 的 SetUID 权限，则普通用户无法修改密码

危险的 SetUID：如果给/usr/bin/vim这个命令设置 SetUID 权限后，普通用户即可使用/usr/bin/vim命令来修改/etc/passwd等系统文件，使普通用户成为超级用户。

（2） SetGID 权限（文件和目录）

1、针对文件的作用：

（1）只有可执行的二进制程序才能设置 SGID 权限

（2）命令执行者要对该程序拥有 x（执行）权限

（3）命令执行在执行程序的时候，组身份升级为该程序文件的属组

（4）SetGID权限同样只在该程序执行过程中有效，也就是说组身份改变只在程序执行过程中有效

2、针对目录的作用：

（1）普通用户必须对此目录拥有 r 和 x 权限，才能进入此目录

（2）普通用户在此目录中的有效组会变成此目录的属组

（3）普通用户对此目录拥有 w 权限时，新建的文件的默认属组是这个目录的属组

例：创建long目录，并给long目录SetGID权限，让普通用户有写权限。

[[email protected] ~]# mkdir /long

[[email protected] ~]# chmod g+s /long/

[[email protected] ~]# chmod 777 /long/

[[email protected] ~]# ls -ld /long/

drwxrwsrwx 2 root root 6 11月 29 15:56 /long/

[[email protected] ~]# su - a1 切换到普通用户a1

[[email protected] ~]$ cd /long/ 让普通用户进入/long目录创建文件

[[email protected] long]$ touch 1.txt

[[email protected] long]$ ls -l

总用量 0

-rw-rw-r-- 1 a1 root 0 11月 29 16:04 1.txt

最后发现普通用户创建的1.txt文件的所属组不是a1，而是 root

（3）Sticky BIT 权限

Sticky BIT 粘着位，也简称为 SBIT。SBIT 目前仅针对目录有效，它的作用如下：

1、粘着位目前只对目录有效，普通用户对该目录拥有 w 和 x 权限，即普通用户可以在此目录拥有写入权限

2、如果没有粘着位，因为普通用户拥有 w 权限，所以可以删除此目录下所有文件，包括其他用户建立的文件。一但赋予了粘着位，除了 root 可以删除所有文件，普通用户就算拥有 w 权限，也只能删除自己建立的文件，但是不能删除其他用户建立的文件。

5、总结SetUID 权限，SetGID 权限，Sticky BIT 权限的设置

（1）各种特殊权限所对应的权限数值

权限名称	对应的权限数值
SetUID	4
SetGID	2
Sticky BIT	1
读（r）	4
写（w）	2
执行（x）	1
注意：权限值由4位数字组成，从左往右第一位是特殊权限值，第二位是文件或目录所有者的权限值，第三位是文件或目录的所属组的权限值，第四位是文件或目录其他人的权限值。