Linux操作系統(tǒng)安全配置 課件 02-005-ACL設(shè)置

單擊此處編輯母版標(biāo)題樣式

ACL設(shè)置學(xué)習(xí)內(nèi)容企業(yè)需求0102ACL簡介03ACL設(shè)置04總結(jié)企業(yè)需求1某公司服務(wù)器管理員需要對服務(wù)器進(jìn)行特殊權(quán)限的設(shè)定，具體要求如下：（1）能夠針對單個用戶、單個文件或目錄進(jìn)行權(quán)限的設(shè)定企業(yè)需求1需求分析：此處需要針對單個用戶，單個文件或目錄進(jìn)行r，w，x的權(quán)限設(shè)定，Linux中可以實(shí)現(xiàn)該功能的是：ACLACL功能的命令有：setfacl：設(shè)置文件/目錄權(quán)限getfacl：查看文件/目錄權(quán)限

ACL簡介21.ACL介紹ACL是AccessControlList的縮寫，主要的目的是在提供傳統(tǒng)的owner，group，others的read，write，execute權(quán)限之外的局部權(quán)限設(shè)定。ACL可以針對單個用戶，單個文件或目錄來進(jìn)行r，w，x的權(quán)限設(shè)定；特別適用于需要特殊權(quán)限的使用情況。簡單來說，ACL就是可以設(shè)置特定用戶或用戶組對于一個文件/目錄的操作權(quán)限。

ACL簡介22.ACL控制權(quán)限ACL可以針對以下幾個項目來控制權(quán)限：用戶（user）：可以針對用戶設(shè)置權(quán)限用戶組（group）：可以針對用戶組設(shè)置權(quán)限默認(rèn)屬性（mask）：可以在該目錄下新建文件/目錄時設(shè)置新數(shù)據(jù)的默認(rèn)權(quán)限

ACL簡介23.ACL命令A(yù)CL主要命令如下：setfacl：設(shè)置某個目錄/文件的ACL規(guī)則getfacl：查看某個目錄/文件的ACL設(shè)置項目

ACL設(shè)置31.查看Linux系統(tǒng)支持ACL功能[root@server~]#cat/boot/config-3.10.0-963.el7.x86_64|grep-iext4CONFIG_EXT4_FS=mCONFIG_EXT4_USE_FOR_EXT23=yCONFIG_EXT4_FS_POSIX_ACL=y//表示支持ACLCONFIG_EXT4_FS_SECURITY=y

ACL設(shè)置32.setfacl命令setfacl語法：setfacl<選項>[規(guī)則]<文件/目錄>選項：-m新增一條ACL規(guī)則-x刪除一條ACL規(guī)則-b清空所有ACL規(guī)則-R：遞歸設(shè)置ACL參數(shù)-d：設(shè)置預(yù)設(shè)的ACL參數(shù)（只對目錄有效，在該目錄新建的文件也會使用此ACL默認(rèn)值）-k：刪除預(yù)設(shè)的ACL參數(shù)

ACL設(shè)置32.setfacl命令setfacl語法：setfacl<選項>[規(guī)則]<文件/目錄>“規(guī)則“組成結(jié)構(gòu)：身份：對應(yīng)身份名：三種權(quán)限[u|g]：[用戶名|用戶組名]：[rwx]

ACL設(shè)置33.getfacl命令getfacl語法：getfacl<文件/目錄>說明：[root@server~]#getfacl/tmpgetfacl:Removingleading'/'fromabsolutepathnames#file:tmp//目錄名稱#owner:root//目錄所有者#group:root//目錄所屬用戶組#flags:--t//目錄有特殊權(quán)限SBITuser::rwx//目錄所有者擁有rwx權(quán)限，沒有設(shè)置ACLgroup::rwx//目錄所屬用戶組擁有rwx權(quán)限other::rwx//其它用戶擁有rwx權(quán)限

ACL設(shè)置34.ACL設(shè)置-用戶為/srv/acltest文件設(shè)置ACL，使用戶user1對其具有rwx權(quán)限[root@serversrv]#setfacl-mu:user1:rwxacltest原權(quán)限：-rwxr--r--.1rootroot0Oct804:58acltest設(shè)置后：-rwxrwxr--+1rootroot0Oct804:58acltest權(quán)限部分多了個“+”，代表了該文件設(shè)置了ACL

ACL設(shè)置34.ACL設(shè)置-用戶getfacl查看ACL權(quán)限[root@serversrv]#getfaclacltest#file:acltest#owner:root#group:rootuser::rwxuser:user1:rwx//在文件acltest上針對用戶user1設(shè)置了rwx權(quán)限group::r--mask::rwxother::r--

ACL設(shè)置34.ACL設(shè)置-用戶組為/srv/acltest文件設(shè)置ACL，使群組manager對其具有rx權(quán)限[root@serversrv]#setfacl-mg:manager:rxacltest[root@serversrv]#getfaclacltest//getfacl查看ACL權(quán)限#file:acltest#owner:root#group:rootuser::rwxuser:user1:rwxgroup::r--group:manager:r-x//在文件acltest上針對用戶群組manager設(shè)置了rx權(quán)限mask::rwxother::r--

ACL設(shè)置34.ACL設(shè)置-有效權(quán)限mask值為acltest文件設(shè)置ACL，使user1用戶、manager組只具有r權(quán)限[root@serversrv]#setfacl-mm::racltest[root@serversrv]#getfaclacltest#file:acltest#owner:root#group:rootuser::rwxuser:user1:rwx #effective:r--//user1對文件只有r權(quán)限而已group::r--group:manager:r-x #effective:r--//manager對文件只有r權(quán)限而已mask::r--other::r--

ACL設(shè)置34.ACL設(shè)置-有效權(quán)限mask值說明：user:user1:rwx #effective:r-- “user:user1:rwx“表示給user1設(shè)置了rwx權(quán)限，”effective:r--”表示雖然user1擁有rwx權(quán)限，但是真正有效果的只有r權(quán)限。group:manager:r-x #effective:r--“group:manager:r-x”表示給manager設(shè)置了rx權(quán)限，”effective:r--”表示雖然manager擁有rwx權(quán)限，但是真正有效果的只有r權(quán)限。

ACL設(shè)置34.ACL設(shè)置-有效權(quán)限mask值測試：用戶user1為acltest文件內(nèi)添加內(nèi)容“123”[user1@serversrv]$echo"123">acltestbash:acltest:Permissiondenied因?yàn)橛脩魎ser1有效權(quán)限為r，沒有wx權(quán)限

ACL設(shè)置34.ACL設(shè)置-DefaultACL以上講的ACL都是對文件而言，而DefaultACL是指對一個目錄進(jìn)行默認(rèn)ACL設(shè)置，在此目錄下建立的文件或目錄都將繼承父目錄的ACL。例如：希望所有在/srv/acldir目錄下建立的文件或目錄都可以被用戶user1訪問（權(quán)限為rwx），那么應(yīng)該對acldir目錄設(shè)置DefaultACL。[root@serversrv]#setfacl-md:u:user1:rwxacldir

ACL設(shè)置34.ACL設(shè)置-DefaultACL[root@serversrv]#getfaclacldir//getfacl查看ACL權(quán)限#file:acldir#owner:root#group:rootuser::rwxgroup::r-xother::r-xdefault:user::rwxdefault:user:user1:rwxdefault:group::r-xdefault:mask::rwxdefault:other::r-x

ACL設(shè)置34.ACL設(shè)置-DefaultACL在acldir目錄下新建一個file1文件，并查看其權(quán)限。[root@serveracldir]#getfaclfile1#file:file1#owner:root#group:rootuser::rw-user:user1:rwx #effective:rw-group::r-x #effective:r--mask::rw-other::r--

ACL設(shè)置34.ACL設(shè)置-DefaultACL在acldir目錄下新建目錄abc，并查看其權(quán)限。[root@serveracldir]#getfacl--omit-headerabc