1. linux的系统管理员很重要的任务就是管理自己服务器的文件，对于权限设置等级森严的linux文件系统，文件系统的访问权限管理自然也是linux管理员必不可少的一项技能。
在linux中文件的基本权限中：被分为三大项：文件拥有者，文件拥有组，其他人。
每一项中，用三位八进制的数字来代表文件是否可读，是否可写，是否可执行。并根据用户不同可以设置不同的umask值，来屏蔽文件的权限，umask值位数等于文件的权限位数，当umask的值为1，表示该位的权限就应该屏蔽掉。
后来在使用过程中发现，除了上面的几种分类之外，往往会出现第四种，第五种人，比如虽然是同一个组，但是权限却不能要求一样，或者后一个属于其他人的分组的一个人权限却要求更大，还有就是比如linux的密码文件，对于系统中的密码文件对于普通用户是不应该可见或更改的，但是在系统某些普通用户登录时又必须访问该文件，于是便出现了，文件的特殊权限以及文件的访问控制ACL。
2. umask工作原理及其配置：
umask是从最大权限中屏蔽掉相应的权限位，从而得到相应的权限。
对于每个用户都有其默认的umask值的设定，对于root，umask值较大，默认022，其他人umask较小，因为root权限较大，umask值越大，屏蔽掉的权限也越多，默认创建的文件权限也就越小，对于系统来说，文件系统权限越小，相对来说也就是更高的安全。umask计算时可以用下面的方法计算：
默认权限=最大权限位 – umask屏蔽位。
上面的计算是目录时，最大权限是777，文件时最大权限是666，然后与umask位做差运算，如果是文件则结果就是文件的权限，如果是目录时则要看每一位的数值是奇数还是偶数，如果是奇数就需要该位上加一，偶数位则不变。
示例：
[root@centos7 ~]# ll f4.txt cd -rwxr-xr-x. 1 root root 0 Aug 3 10:33 cd -rw-r--r--. 1 root root 12 Jul 27 10:35 f4.txt
有上面的文件可知f4.txt文件权限位中（第一个–表示是文件类型，不属于文件权限位），每三个位表示一端，每一段中又分别是r，w，x三中权限，–表示没有该权限位被屏蔽掉了。每一位若用二进制数字表示的话r（100）表示4，w（010）表示2，x（001）表示1，文件最大umask权限默认是666是因为默认屏蔽掉x权限，表示执行的x权限对于系统来说有安全隐患，所以默认屏蔽掉了。
umask值查看与设定：
[root@centos7 ~]# umask 0022 [root@centos7 ~]# umask -p umask 0022 [root@centos7 ~]# umask -S u=rwx,g=rx,o=rx
上面的三种查看方法当中，第一种没有加参数，可以直接显示umask的值，第二种加了-p选项后在umask值前面多了umask字样，可以用来编写脚本时使用，比如要把umask的值改变需要改变配置文件每一个用户的初始化配置文件~/.bashrc当中都有有关umask的值的设定，在/etc/bashrc下面有全局设定，在配置文件的末尾直接写 ：umask 0147 便将umask值修改为0111了
umask值计算示例：
如将umask的值改为0147了此时
目录：777-147=630 目录值算出多少就是多少
文件：666-147=52(-1) 结果当中有奇数有偶数奇数加一偶数不变（加一是为了屏蔽掉执行权限）结果为620
测试结果如下
[root@centos7 ~]# umask 147 [root@centos7 ~]# touch aa [root@centos7 ~]# ll aa -rw--w----. 1 root root 0 Aug 3 10:59 aa [root@centos7 ~]# mkdir aadir [root@centos7 ~]# ll aadir/ -d drw--wx---. 2 root root 6 Aug 3 11:00 aadir/
可知，结果与计算相符，计算正确
注意：
文件权限是需要和文件系统关联的，假如将fat文件系统格式化的分区，该分区将不支持文件系统权限的，比如用fat32的优盘挂载至文件系统，通过lsblk列出块设备，df –T 查看文件系统确认分区格式和挂载点，修改文件权限，切至普通用户就会发现文件权限修改使没有生效的
3. 文件系统的特殊权限：SUID,SGID,STICKY
三种文件系统权限的都是文件系统权限的扩展，分别简写为s，s，t。在通过ls -l查看文件时第一位就是文件的特殊权限三个字母分别对应于原来的rwx三位，数值也是4，2，1
三种权限的含义：
SUID:对用户有效，并且需要是二进制的可执行文件，对于普通文件和脚本文件无效，当用户执行具有suid的可执行文件时，该用户将继承拥有该程序拥有者的权限执行该程序（可执行文件的运行身份是以发起该进程的用户身份的）
如：
[root@centos7 ~]# ll `which vim` -rwxr-xr-x. 1 root root 2289656 Jun 10 2014 /usr/bin/vim [root@centos7 ~]# ll `which vim` -rwxr-xr-x. 1 root root 2289656 Jun 10 2014 /usr/bin/vim [root@centos7 ~]# chmod u+s `which vim` [root@centos7 ~]# ll `which vim` -rwsr-xr-x. 1 root root 2289656 Jun 10 2014 /usr/bin/vim [root@centos7 ~]# su - jack Last login: Tue Aug 2 21:43:24 CST 2016 on pts/1 [jack@centos7 ~]$ ll /etc/shadow ----------. 1 root root 1309 Aug 2 21:47 /etc/shadow [jack@centos7 ~]$ vim /etc/shadow [jack@centos7 ~]$ echo $? 0 [jack@centos7 ~]$ exit logout [root@centos7 ~]# chmod u-s `which vim` [root@centos7 ~]# ll `which vim` -rwxr-xr-x. 1 root root 2289656 Jun 10 2014 /usr/bin/vim
通过给/usr/bin/vim添加suid权限，普通用户可以编辑对于任何用户都不能查看或编辑的shadow文件，最后给vim减去suid权限。
SGID:类似于suid，目标也是针对可执行的二进制文件有效，对拥有sgid权限的程序，可以拥有可执行文件的组内的权限，使用较少，用法与suid类似，此处不在赘述
sgid作用在目录上的特殊功能：当对目录拥有sgid位时，该目录内新建的文件或目录的所属组自动集成该目录的所属组
示例：在添加了sgid的dir目录中，其他用户创建的目录和文件都会变成jack所属组
[root@centos7 testdir]# mkdir dir [root@centos7 testdir]# chown jack.jack dir [root@centos7 testdir]# chmod g+s dir [root@centos7 testdir]# cd dir [root@centos7 dir]# touch a.txt [root@centos7 dir]# mkdir a_dir [root@centos7 dir]# ll total 0 drwxr-sr-x. 2 root jack 6 Aug 3 16:02 a_dir -rw-r--r--. 1 root jack 0 Aug 3 16:02 a.txt
sticky：又叫粘滞位，该位在
普通文件的sticky位会被linux内核忽略，目录的sticky位表示这个目录里的文件只能被owner和root删除 。粘滞位出现执行许可的位置上，用t表示。但是该目录下的目录不继承该权限，要再设置才可使用。
示例：tmp目录
[root@centos7 ~]# ll /tmp -d drwxrwxrwt. 24 root root 4096 Aug 3 11:22 /tmp
那么原来的执行标志x到哪里去了呢? 系统是这样规定的, 假如本来在该位上有x, 则这些特别标志 (suid, sgid, sticky) 显示为小写字母 (s, s, t).
否则, 显示为大写字母 (S, S, T) 。
chattr：在文件系统的层面为文件添加属性，保护特殊文件，防止误操作，在系统中root可以把本已对任何人都没有权限的文件，执行操作
在操作系统层面上，文件的属性有：
a：让文件或目录仅供附加用途；
b：不更新文件或目录的最后存取时间；
i：不得任意更动文件或目录；
u：预防意外删除。
示例：
[root@centos7 testdir]# ls adir a.txt [root@centos7 testdir]# chattr +a a.txt //添加a属性 [root@centos7 testdir]# chattr +i adir/ [root@centos7 testdir]# echo aa > a.txt//不能修改 -bash: a.txt: Operation not permitted [root@centos7 testdir]# echo aa >> a.txt//只能增加内容 [root@centos7 testdir]# rm -rf adir/ //不能删除目录 rm: cannot remove ‘adir/’: Operation not permitted
文件访问控制列表ACL（Access Control List，ACL）对文件权限进行精确匹配，包括组和用户，都可以进行匹配：
选项：
-b,--remove-all：删除所有扩展的acl规则，基本的acl规则(所有者，群组，其他）将被保留。 -m给文件添加acl规则 -M 根据规定好的acl格式的文件（存放acl规则的文件），为需要添加acl的文件添加acl -x 给文件移除规则 -X 类似于-M也是根据文件移除acl权限
-m和-x后边跟以acl规则。多条acl规则以逗号(,)隔开。选项-M和-X用来从文件或标准输入读取acl规则。 选项–set和–set-file用来设置文件或目录的acl规则，先前的设定将被覆盖。 选项-m(–modify)和-M(–modify-file)选项修改文件或目录的acl规则。 选项-x(–remove)和-X(–remove-file)选项删除acl规则。
当使用-M，-X选项从文件中读取规则时，setfacl接受getfacl命令输出的格式。每行至少一条规则，以#开始的行将被视为注释。 当在不支持ACLs的文件系统上使用setfacl命令时，setfacl将修改文件权限位。如果acl规则并不完全匹配文件权限位，setfacl将会修改文件权限位使其尽可能的反应acl规则，并会向standard error发送错误消息，以大于0的状态返回
一般示例：
[root@centos7 testdir]# ll total 4 drwxr-xr-x. 2 root root 6 Aug 3 16:17 adir -rw-r--r--. 1 root root 9 Aug 3 16:31 a.txt [root@centos7 testdir]# setfacl -m u:jack:rwx a.txt //给用户jack添加rwx权限 [root@centos7 testdir]# getfacl a.txt //查看文件的acl权限 # file: a.txt # owner: root # group: root user::rw- user:jack:rwx group::r-- mask::rwx other::r— [root@centos7 testdir]# setfacl -x u:jack: a.txt [root@centos7 testdir]# getfacl a.txt # file: a.txt # owner: root # group: root user::rw- group::r-- mask::r-- other::r-- [root@localhost ~]# getfacl ./test.txt # file: test.txt # owner: root # group: admin user::rw- user:john:rw- group::rw- group:dev:r-- mask::rw- other::r—
前面三个以#开头的定义了文件名，file owner和group。
user::rw- 定义了ACL_USER_OBJ, 说明file owner拥有read and write permission
user:jack:rwx 定义了ACL_USER,这样用户jack就拥有了对文件的读写执行权限,实现了我们一开始要达到的目的
group::rw- 定义了ACL_GROUP_OBJ,说明文件的group拥有read and write permission group:dev:r– 定义了ACL_GROUP,使得dev组拥有了对文件的read permission mask::rw- 定义了ACL_MASK的权限为read and write other::r– 定义了ACL_OTHER的权限为read
原创文章，作者：jack_cui，如若转载，请注明出处：http://www.178linux.com/28346
