Chinaunix首页 | 论坛 | 博客
  • 博客访问: 436373
  • 博文数量: 237
  • 博客积分: 0
  • 博客等级: 民兵
  • 技术积分: 0
  • 用 户 组: 普通用户
  • 注册时间: 2016-06-12 14:40
个人简介

  每个人生的当口,都是会有一个孤独的时刻,四顾无人,只有自己,于是不得不看明白自己的脆弱,自己的欲望,自己的念想,自己的界限,还有,自己真正的梦想。

文章分类

全部博文(237)

文章存档

2017年(3)

2016年(234)

分类: LINUX

2016-05-11 11:19:47

用户权限管理始终是 Linux/Unix 系统管理中最重要的环节。UGO 权限管理方式是最常用的,但是,对于一些比较复杂的权限管理,UGO显得无能为力,此时便需要用到ACL。
Linux下的ACL(Access Control List),即文件/目录的访问控制列表,可以针对任意指定的用户或用户组分配rwx权限。通过ACL功能配置的权限优先级高于通过chmod命令配置的普通权限。
 
以下实验平台为CentOS 6.2。
 
一、设置ACL支持
 
Linux ACL需要内核和文件系统的支持,安装操作系统任务完成后所建立的分区默认是不支持ACL功能的,需要手动进行相关配置。
 
这里以加载到/data的lv_data分区为例,
[root@itpro ~]# cat /etc/fstab 
# /etc/fstab
/dev/mapper/vg_itpro-lv_root /                       ext4    defaults        1 1
/dev/mapper/vg_itpro-lv_data /data                    ext4    defaults        0 0
……省略部分输出……
[root@itpro ~]# ll -d /data/
drwxr-xr-x. 4 root root 4096 Mar 12 02:56 /data/
[root@itpro ~]# ll /data/
total 24
drwxr-xr-x. 2 root root  4096 Mar 12 02:56 dirtest
-rw-r--r--. 1 root root     5 Mar 12 02:55 filetest
drwx------. 2 root root 16384 Mar 12 02:53 lost+found
 
当root试图针对/data目录给用户sqa设置acl访问权限时,报错,
[root@itpro ~]# setfacl -m u:sqa:rwx /data/
setfacl: /data/: Operation not supported
 
解决方法有如下三种:
 
方法1, 使用mount命令,acl选项
此命令使一个分区临时支持ACL,但系统重启后ACL会失效。另外,由于涉及到umount操作,此方法会带来不便。
[root@itpro ~]# mount -o remount,acl /data
(注:使用acl选项重新加载分区,也可以先卸载文件系统,再使用acl选项重新加载,如:
[root@itpro ~]# umount /dev/mapper/vg_itpro-lv_data /data
umount: /data: not mounted
[root@itpro ~]# mount -o acl /dev/mapper/vg_itpro-lv_data /data
但这具步骤会影响到data分区的使用,
不过呢,如果要撤销acl支持,使用命令
[root@itpro ~]# mount -o remount /data
是无效的,需要重启系统或重新加载文件系统,不带acl选项,即,
[root@itpro ~]# umount /dev/mapper/vg_itpro-lv_data /data
[root@itpro ~]# mount /dev/mapper/vg_itpro-lv_data /data

[root@itpro ~]# setfacl -m u:sqa:rwx /data/
[root@itpro ~]# setfacl -b /data/
(注:这里成功设置acl,操作完成后清除acl)
 
方法2,使用tune2fs –o acl命令进行设置(tune2fs用于调整和查看文件系统的参数)
这种方法,在设置时,并不生效,需要重启系统才生效,也会带来不便。
 
[root@itpro ~]# tune2fs -l /dev/mapper/vg_itpro-lv_root |grep acl
Default mount options:    user_xattr acl
[root@itpro ~]# tune2fs -l /dev/mapper/vg_itpro-lv_data |grep acl
(注:lv_root分区的查询结果为user_xattracl,表示支持acl;而lv_data分区的查询结果为空,表示默认值不支持acl)
[root@itpro ~]# tune2fs -o acl /dev/mapper/vg_itpro-lv_data 
tune2fs 1.41.12 (17-May-2010)
[root@itpro ~]# tune2fs -l /dev/mapper/vg_itpro-lv_data |grep acl
Default mount options:    acl
(注:手动给lv_data分区设置acl支持)
 
此时acl是不生效的,需要系统重启才生效,并且永久生效
[root@itpro ~]# setfacl -m u:sqa:rwx /data/
setfacl: /data/: Operation not supported
[root@itpro ~]# init 6
……重启,重新登录……
[root@itpro ~]# setfacl -m u:sqa:rwx /data/
[root@itpro ~]# setfacl –b
 
如果要恢复为不支持acl,
[root@itpro ~]# tune2fs -o ^acl /dev/mapper/vg_itpro-lv_data
tune2fs 1.41.12 (17-May-2010)
[root@itpro ~]# tune2fs -l /dev/mapper/vg_itpro-lv_data |grep acl
(注:acl前面用了取反符号“^”;查询结果为空,表示acl取消了,这个设置也是要系统重启才能生效)
 
方法3,修改/etc/fstab文件
最有用的方法,相当于在方法1的基础上,修改fstab文件,使系统重启时加载acl。
在/etc/fstab文件,lv_data条目中,在defaults后面追加acl选项,修改后内容如下:
[root@itpro ~]# cat /etc/fstab
# /etc/fstab
/dev/mapper/vg_itpro-lv_root /                       ext4    defaults        1 1
/dev/mapper/vg_itpro-lv_data /data                   ext4    defaults,acl        0 0
……省略部分输出……
 
修改完成后,使用-o remount选项,重新读取分区表信息,acl即时生效,并且永久生效。
[root@itpro ~]# mount -o remount /dev/mapper/vg_itpro-lv_data
[root@itpro ~]# setfacl -m u:sqa:rwx /data/
[root@itpro ~]# setfacl -b /data/
 
 
二、ACL权限设置
 
对文件或者目录具体设置ACL功能以及查看具体的ACL配置,
用到setfacel 和getfacl两个命令。
下面进行ACL权限设置实验。
 
准备工作
先创建三个普通用户sqa、sqb、sqc及用户组admins,并将用户sqa、sqb加入到该用户组;
在/下创建待测试的文件夹dirtesta及其子文件。
[root@itpro ~]# useradd sqa
[root@itpro ~]# useradd sqb
[root@itpro ~]# useradd sqc
[root@itpro ~]# groupadd admins
[root@itpro ~]# usermod -G admins sqa
[root@itpro ~]# usermod -G admins sqb
[root@itpro ~]# mkdir /dirtest 
[root@itpro ~]# touch /dirtest/t01
[root@itpro ~]# ll -d /dirtest/
drwxr-xr-x. 2 root root 4096 Mar 12 01:08 /dirtest/
[root@itpro ~]# ll /dirtest/
total 4
-rw-r--r--. 1 root root  17 Mar  5 07:04 t01
 
 
实验一
求要:其他用户对文件夹dirtest有读写权限,但用户sqa没有任何权限
解决方法:给ugo中的o开放读写权限,使用acl限制特定用户sqa
 
1.先查看当前dirtest的acl
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
[root@itpro ~]# ll -d /dirtest/
drwxr-xr-x. 2 root root 4096 Mar 12 01:08 /dirtest/
 
2.更改dirtest的访问权限
[root@itpro ~]# chmod o+w /dirtest/
(注:给其他用户增加“写”权限)
[root@itpro ~]# setfacl -m u:sqa:--- /dirtest/
(注:不给用户sqa任何权限)
 
3.再次查看当前的dirtest权限
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
user:sqa:---
group::r-x
mask::r-x
other::rwx
[root@itpro ~]# ll -d /dirtest/
drwxr-xrwx+ 2 root root 4096 Mar 12 01:08 /dirtest/
(注:drwxr-xrwx+,这里仍然是按ugo权限排序,最后的“+”,表示设置了acl)
 
4.测试
切换到用户sqa
[root@itpro ~]# su sqa
[sqa@itpro root]$ ls /dirtest/
ls: cannot open directory /dirtest/: Permission denied
[sqa@itpro root]$ cd /dirtest/
bash: cd: /dirtest/: Permission denied
 
切换到用户sqb
[sqa@itpro root]$ exit
exit
[root@itpro ~]# su sqb
[sqb@itpro root]$ ls /dirtest/
t01
[sqb@itpro root]$ cd /dirtest/
[sqb@itpro dirtest]$ touch t02
[sqb@itpro root]$ ls /dirtest/
t01  t02
 
切换回root用户
[sqb@itpro root]$ exit
exit
[root@itpro ~]#
 
 
实验二
在实验一的基础上,
要求:用户组admins(包括sqa和sqb两个用户)对dirtest没有写权限,但用户sqb有写权限。
解决方法:使用acl赋予用户组admins 权限为r-x,赋予用户sqa权限为rwx
 
1.在实验一中,对于dirtest文件夹,用户sqa权限为---,是acl控制的;用户sqb权限为rwx,不是acl控制的;
现在先对用户组admins设置acl
[root@itpro ~]# setfacl -m g:admins:r-x /dirtest/
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
user:sqa:---
group::r-x
group:admins:r-x
mask::r-x
other::rwx
(注:此时,用户sqa的权限仍然是---,用户sqb的权限则随用户组admins为r-x
测试结果如下:
[root@itpro ~]# su sqa
[sqa@itpro root]$ ls /dirtest/
ls: cannot open directory /dirtest/: Permission denied
[sqa@itpro root]$ exit
exit
[root@itpro ~]# su sqb
[sqb@itpro root]$ ls /dirtest/
t01  t02
[sqb@itpro root]$ touch /dirtest/t03
touch: cannot touch `/dirtest/t03': Permission denied
[sqb@itpro root]$ exit
exit
[root@itpro ~]#
以上是测试结果)
 
2.删除实验一中对用户sqa设置的acl
(注:在实验一步骤2中,使用命令setfacl -m u:sqa:--- /dirtest/ 对用户sqa设置了权限)
[root@itpro ~]# setfacl -x u:sqa /dirtest/
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
group::r-x
group:admins:r-x
mask::r-x
other::rwx
(注:如果没有做实验一,直接做实验二,对用户组admins设置acl后,看到的结果便是这个,当然,other权限默认应为r-w,实验一中改了)
 
3.对用户sqb设置acl,使其对dirtest具有rwx权限
[root@itpro ~]# setfacl -m u:sqb:rwx /dirtest/
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
user:sqb:rwx
group::r-x
group:admins:r-x
mask::rwx
other::rwx
[root@itpro ~]# ll -d /dirtest/
drwxrwxrwx+ 2 root root 4096 Mar 12 01:37 /dirtest/
(注:drwxrwxrwx+,这里不是按ugo权限排序,第一组rwx是文件所有者root的权限,第二组rwx是用户sqb的权限,第三组rwx是其他用户的权限,“+”表示acl设置的权限。
如果将其他用户的权限改回默认的r-x,会更易理解,如:
[root@itpro ~]# chmod o-w /dirtest/
[root@itpro ~]# ll -d /dirtest/
drwxrwxr-x+ 2 root root 4096 Mar 12 01:37 /dirtest/

 
4.测试
依次切换到用户sqa、sqb、sqc,查看其对dirtest文件夹的操作权限,
[root@itpro ~]# su sqa
[sqa@itpro root]$ ls /dirtest/
t01  t02
[sqa@itpro root]$ touch /dirtest/t03
touch: cannot touch `/dirtest/t03': Permission denied
[sqa@itpro root]$ exit
exit
[root@itpro ~]# su sqb
[sqb@itpro root]$ ls /dirtest/
t01  t02
[sqb@itpro root]$ touch /dirtest/t03
[sqb@itpro root]$ ls /dirtest/
t01  t02  t03
[sqb@itpro root]$ exit
exit
[root@itpro ~]# su sqc
[sqc@itpro root]$ ls /dirtest/
t01  t02  t03
[sqc@itpro root]$ touch /dirtest/t04
[sqc@itpro root]$ ls /dirtest/
t01  t02  t03  t04
[sqc@itpro root]$ ll /dirtest/
total 8
-rw-r--r--. 1 root root  17 Mar  5 07:04 t01
-rw-rw-r--. 1 sqb  sqb    0 Mar 12 01:37 t02
-rw-rw-r--. 1 sqb  sqb    0 Mar 12 02:22 t03
-rw-rw-r--. 1 sqc  sqc    0 Mar 12 02:24 t04
[sqc@itpro root]$ exit
exit
(注:由于sqc不在用户组admins,所在sqc的权限为其他用户(ugo中的o)的权限,即rwx(实验一中设置的))
 
至此,实验结束,如果要恢复dirtest的访问权限为实验前的权限,可进行以下操作:
[root@itpro ~]# setfacl -b /dirtest/
(注:-b选项,表示清除指定对象的所有acl设置,慎用)
[root@itpro ~]# chmod o-w /dirtest/
(注:other的权限也改回r-x)
[root@itpro ~]# ll -d /dirtest/
drwxr-xr-x. 2 root root 4096 Mar 12 02:24 /dirtest/
[root@itpro ~]# getfacl /dirtest/
getfacl: Removing leading '/' from absolute path names
# file: dirtest/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
(注:可以看到,此时的文件权限恢复到常规状态)

本文出自 “一树清劲” 博客,转载请务必保留此出处。

阅读(431) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~