Chinaunix首页 | 论坛 | 博客
  • 博客访问: 771432
  • 博文数量: 803
  • 博客积分: 6000
  • 博客等级: 准将
  • 技术积分: 5015
  • 用 户 组: 普通用户
  • 注册时间: 2008-10-28 10:29
文章分类

全部博文(803)

文章存档

2011年(1)

2008年(802)

我的朋友

分类:

2008-10-29 11:32:34


  摘要
   在众多的访问控制系统中,Andreas Gruenbacher的Linux ACL工程()是比较有影响力的一个,也是最容易使用的一个。它依赖于文件系统的扩展属性(Extended Attribute)。
  简介
  
  作为一种自由的操作系统,Linux的发展极为迅速,也出现了很多改进传统UNIX系统缺点的工程。这些工程通过不同的方式帮助系统管理员提高系统的性,例如:进程的能力,更细粒度的权限等。在上期我们介绍了Linux的能力特性,本文将介绍Linux的ACL系统。
  
  传统UNIX系统的访问控制方法是非常简单的,它把用户分成三类:文件的拥有者、组成员和其他用户。很显然,这种访问控制模型过于简陋了。随着对Linux系统性要求的提高,需要一种更细粒度的访问控制模型来代替传统UNIX系统的访问控制模型。使用ACL(Access Control List,访问控制列表)系统,系统管理员能够为每个用户(包括root用户在内)对文件和目录的访问提供更好的访问控制。在POSIX中定义了一种访问控制叫做POSIX ACL,可以实现基于单独用户的控制,目前的大多数Linux访问控制工程都是以此为基础。
  
  在众多的工程中,Andreas Gruenbacher的Linux ACL工程()是比较有影响力的一个。它依赖于文件系统的扩展属性(Extended Attribute)。当前,Linux能够在ext2/ext3和SGI的XFS文件系统中支持POSIX ACL。其它类型的文件系统,例如:ReiserFS文件系统也很快会支持ACL。在网络文件系统中,Linux能够通过Samba共享支持ACL,不过目前的NFS还不能支持ACL。需要指出的是,目前使用磁盘限额的ext3文件系统对ACL的支持不是很好。
  
  1.安装EA/ACL系统
  
  1.1.ACL/EA内核补丁以及相关工具
  
  安装ACL/EA系统,首先需要相关的内核补丁、工具以及辅助库。所有所需的软件包都可以从download.html。
  
  本文将讨论如何在RedHat7.3(内核使用编写本文时的最新版本2.4.19,在本文完成时-2.4.20刚刚发布,不过相关的ea/acl的补丁还不太稳定)中安装ACL系统。需要指出的是,最新版的RedHat 8中已经广泛使用了ea/acl。为了系统维护的方便,建议除了内核补丁使用源代码包之外,其余软件都是用RPM包进行安装。整个安装过程需要用到以下的软件包:
  
   acl-2.0.18-0.src.rpm
   attr-2.0.10-0.src.rpm
   e2fsprogs-1.27ea-26.4.src.rpm
   star-1.5a03-2.src.rpm
   fileutils-4.1.18acl65.5.src.rpm
   linux-2.4.19-xattr-0.8.50.diff.gz
   linux-2.4.19-acl-0.8.50.diff.gz
  
  1.2.安装内核
  
  在下在了所需的软件之后,就可以进入实际的安装了。我们首先需要一个支持ACL的内核,以下是具体的操作步骤:
  
  1)进入内核源代码所在的目录,使用EA/ACL补丁升级内核源代码:
  
  $ cd linux-2.4.19
  $ zcat ../linux-2.4.19-xttr-0.8.50.diff.gz | patch -p1
  $ zcat ../linux-2.4.19-acl-0.8.50.diff.gz | patch -p1
  
  2)执行如下命令进入内核选项配置界面
  
  # make xconfig
  
  3)选择File systems进入文件系统的配置界面(如下图)
   
  4)打开POSIX Access Control List选项,然后根据需要打开ext2/ext3文件系统的支持选项(如下图)。
   
  
  5)完成配置之后,执行如下命令编译支持ACL的内核:
  [[The No.4 Picture.]]
  #make dep
  #make bzImage
  #make modules
  #make modules_install
  #cp arch/i386/boot/bzImage /boot/ACLKernel
  
  6)最后使用自己喜欢的编辑器编辑/boot/grub/menu.lst文件,使我们刚才编译的内核能够启动。
  
  1.3.安装辅助工具
  
  完成内核的安装之后,我们还需要安装用户空间的工具和库以便对ACL进行日常维护。
  
  1)安装attr库
  
  # rpm --rebuild attr-2.0.10-0.src.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/attr-2.0.10-0.i386.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/attr-devel-2.0.10-0.i386.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/libattr-2.0.10-0.i386.rpm
  
  2)安装acl库
  
  # rpm --rebuild acl-2.0.18-0.src.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/acl-2.0.18-0.i386.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/acl-devel-2.0.18-0.i386.rpm
  # rpm -ihv /usr/src/redhat/RPMS/i386/libacl-2.0.18-0.i386.rpm
  
  3)安装支持ACL的fileutils软件包。它比原始的fileutils软件包增加了维护ACL的工具。
  
  # rpm --rebuild fileutils-4.1.18acl65.5.src.rpm
  # rpm -Uhv /usr/src/redhat/RPMS/i386/fileutils-4.1.8acl-65.5.i386.rpm
  
  4)安装支持文件系统的扩展属性(Extended Attribute)的e2fsprogs软件包。
  
  # rpm --rebuild e2fsprogs-1.27ea-26.4.src.rpm
  # rpm -Uhv /usr/src/redhat/RPMS/i386/e2fsprogs-1.27ea-26.4.i386.rpm
  
  5)安装star。Star是一个类似于tar,支持ACL的快速归档工具。
  
  # rpm --rebuild star-1.5a03-2.src.rpm
  # rpm -Uhv /usr/src/redhat/RPMS/i386/
  
  1.4.安装完成之后的设置
  
  如果使用0.8.50版本的EA/ACL内核补丁,内核重新启动之后不会自动打开ACL功能,我们需要使用acl或者user_xattr选项mount文件系统才能使ACL生效。例如,笔者系统的/home目录位于/dev/hda7分区,我可以使用如下命令使/home分区支持访问控制列表:
  
  # mount -o remount,acl /dev/hda7
  
  为了方便使用(毕竟每次重新启动系统都是用手工打开ACL是很麻烦的),可以直接修改/etc/fstab文件,还是以笔者的系统为例,下面/etc/fstab文件的节选:
  
  LABEL=/ / ext2 defaults 1 1
  LABEL=/boot /boot ext2 defaults    1 2
  LABEL=/home /home ext3 defaults    1 2
  LABEL=/usr /usr ext3 defaults    1 2
  
  如果需要使这几个分区支持文件系统的扩展属性和访问控制列表,只要在选项栏加入acl选项,然后执行#mount -remount -a命令即可:
  
  LABEL=/ / ext2 defaults,acl   1 1
  LABEL=/boot /boot ext2 defaults,acl    1 2
  LABEL=/home /home ext3 defaults,acl    1 2
  
  LABEL=/usr /usr ext3 defaults,acl    1 2
  
  2.Linux EA/ACL的语法
  
  安装了ACL系统之后,系统中的每个对象(文件和目录)都有一个ACL项目控制对这个目标的访问。每个目录之内所有对象的初始访问控制由目录的默认ACL项目决定。
  
  每个ACL项目由一系列ACL规则组成,这些规则设置单独用户或者一组用户对目标的访问权限,包括:读、写和搜索/执行。每个ACL条目被冒号分为三个部分:规则标签类型(tag type)、规则限制符(qualifier)和访问权限(access permission)。规则标签类型包括以下关键词:
  
  user--以user关键词开头的ACL规则设置对象拥有者或者其他用户对对象的访问权限。例如:
  user::rw- 表示对象拥有者的访问权限;
  user:nixe0n:r-- 表示用户nixe0n拥有读对象的权限。
  
  group--设定某个用户组对对象的访问权限。例如:
  group::rw- 表示用户所在用户组拥有读写权限;
  group:linuxaid:r-- 表示属于linuxaid组的用户拥有读权限。
  
  mask--以mask关键词开头的ACL规则用来限制赋予用户的最大访问权限,对象拥有者除外。例如:
  user::rw-
  user:nixe0n:rw-   #有效的是user:nixe0n:r--
  group::rw-      #有效的是group:r--
  group:linuxaid::rw- #有效的是group:linuxaid:r--
  mask::r--
  other::r--
  
  other--指定其他用户对对象的访问权限。
  
  每条ACL规则的第二部分是包含用户或者用户组识别符。用户识别符可以是用户名或者十进制的用户ID号;用户组识别符可以是用户组名或者十进制的用户组ID号。空白表示对象的拥有者或者拥有者所在的用户组。
  
  第三部分是对对象的访问权限。读、写和搜索(目录)/执行(文件)分别由x、w和x代表,和通常使用的权限表示方法完全相同。对应的权限被-代替表示不具有此权限。
  
  除了以上的关键词之外,还有一个只用于目录的关键词default。由default关键词修饰的ACL条目表示目录下所有子目录和文件的默认访问控制列表。
  
  为了方便,还有一种简化的ACL规则表示方式。user可以用u代替;g表示group;m表示mask;o表示other。简化方式的访问控制列表,条目之间使用逗号分割。这种表示方式为命令行设置访问控制列表提供了很大的便利。例如:
  
  $setfacl -m u::rw-,u:floatboat:rw-,g::r--,g:nixe0n:rw-,m::r--,o::r-- foo.txt
  
  3.访问控制列表的维护
  
  ACL生效之后,在使用ls -l命令罗列文件时,你会看到具有访问控制规则的目录或者文件的权限域会有一个加号(+)。例如,在打开ACL功能之前的文件如下所示:
  
  [nixe0n@nixe
【责编:admin】

--------------------next---------------------

阅读(411) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~