第五章用户组和管理权限学习笔记

本章内容:

解释Linux的安全模型

解释用户账号和组群账号的目的

用户的组管理命令

理解并设置文件权限

默认权限

特殊权限

ACL

笔记整理开始2018年4月3日17:27:07

介绍安全3A

Authentication:认证

Authorization:    授权

Accouting|Audition:审计

本章主要介绍的内容为认证和授权方面的内容

 

用户user

令牌token,identiry

用户通过账号和口令登录(认证)之后,系统会根据认证的账号类型

发放不同的类型令牌(授权)。

用户持令牌通过程序访问文件,文件会审核令牌类型判断是否具有访问

权限。

若在登录过程中做了权限变更,需重新登录之后才能领取新的令牌。

Linux用户:Username/UID

管理员:root,0

普通用户:xx,1-65535

系统用户:1-499,1-999(CentOS7)

对守护进程获取资源进行权限分配

登录用户:500+,1000+(CentOS7)

交互式登录

 

组group

Linux组:Groupname/GID

管理员组:root,0

普通组:

系统组:1-499,1-999(CentOS7)

普通组:500+,1000+(CentOS7)

 

安全上下文

Linux安全上下文

运行中的程序:进程(process)

以进程发起者的身份运行:

root:/bin/cat

hello:/bin/cat

进程能够访问资源的权限取决于进程的运行者的身份

组的类别:

用户的主要组(primary group)

用户必须属于一个且只有一个主组

组名同用户名,且仅包含一个用户,私有组(创建用户时自动创建)

用户的附加组(supplementary group)

一个用户可以属于零个或多个附加组

 

用户和组的配置文件

linux用户和组的主要配置文件:

/etc/passwd:用户及其属性信息(名称、UID、主组ID等)

/etc/group:组及其属性信息

/etc/shadow:用户密码及其相关属性

/etc/gshadow:组密码及其相关属性

 

passwd文件格式:

例:

root:x:0:0:root:/root:/bin/bash

hello:x:1000:1000:hello:/home/hello:/bin/bash

systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin

 

login name: 登录名(hello)

passwd:             密码(已移动到shadow文件,此地为x)

UID:                   用户身份编号(1000,192…)

GID:                   登录默认所在组编号,主组

GECOS:                     用户全名或者注释

home directory:用户主目录(/home/hello)

shell:                  用户默认使用shell

 

gshadow文件格式:

root:$6$vOrgaA175RBG06bP$A/WYhuPC6pFNEUBKm0xp5/0W8jwQZIGJJUQI5o

1aAQJtLRRW9J9h07ga5mcub4Tl7fL1MLdEH7ayTJsWCwMwN/::0:99999:7:::

 

systemd-network:!!:17617::::::

 

hello:$6$9t4/ZZJe$CKCzXlZJct4ryh9eAmr.ztf9SlnuuoQfFCtmEdKdbycAge

Wrv2xhAh0HF6KmRbKLSkcF70icUfysiycoOsbsB/:17623:0:99999:7:::

 

1.login name:                             登录名

2.encrypted password:                   加密的密码,类型、salt、密文

现在一般使用sha512加密

3.date of last password change:上一次修改密码的时间,已1970-1-1之后

的天数表示

计算方法:echo date +%s/3600/24 |bc

4.minimum password age:              密码的最小使用周期,即密码修改之后

最少多少天之后可以再次修改

0 表示随时可以更改

5.maximum password age:             密码的最长使用周期,修改密码之后多少

天之后必须再次修改密码(过期)

99999,永不过期

6.password warning period:            密过过期之前几天发出提示信息

7.password inactivity period:    过期之后多少天之内还可以登录

8.account expiration date:        从1970-1-1算起,多少天后账号失效

9.空                                           预留位置

 

密码加密

加密机制:

加密:明文–>密文

解密:密文–>明文

单向加密:哈希算法,原文不同,密文必不同

相同算法定长输出,获得密文不可逆推出原始数据

雪崩效应:初始条件的微小改变,引起结果的巨大改变

md5:message digest,128bits,听说已被破解

sha1:secure hash algorithm,160bits

sha224:224bits

sha256:

sha384:

sha512:

 

密码的复杂性策略

使用数字、大写字母、小写字母及特殊字符中至少3种

足够长

使用随机密码

定期更换,不要使用最近曾经使用过的密码

 

group文件格式:

root:x:0:

hello:x:1000:hello

kvm:x:36:qemu

group_name:     群组名称

password:          密码,不显示

GID:                   群组ID

user_list:        以当前组为附加组的用户列表(分隔符为逗号)

 

gshadow文件格式:

root:::

hello:!!::hello

systemd-network:!::

group name:             群组名称

encrypted password:加密的密码

administrators:   组管理员列表,更改组密码和成员

members:                 成员,以当前组为附加组的用户列表(分隔符为逗号)

 

文件操作命令:

vipw:    vi+passwd

vigr: vi+passgr

pwck:

grpck:

 

用户管理命令:

useradd

usermod

usedel

组账号维护命令:

groupadd

groupmod

userdel

 

useradd:用户创建

useradd [options] login.name

-u                        指定UID,如不指定,正常情况id按最大的id上递增

超过范围则按最小的数递增

-o                        配合-u选项,不检查UID的唯一性

-g GID:                 指明用户所属的基本组,可为组名,也可以为GID

-c ”COMMMENT”:     用户的注释信息

-d home_dir         以指定的路径(不存在)为家目录

-s shell:              指明用户的默认shell程序

可用列表在/etc/shells中

-G group1..           为用户指明附加组,须存在

-N                       不创建私有组做主组,使用users组做主组100

-r                        创建系统用户

-m                       创建家目录,用于系统用户

-M                       不创建家目录,用户非系统用户

家目录不存在则登录会进入”/”

 

默认值设定:/etc/default/useradd文件中

显示或更改默认设置:

useradd -D          显示基本设置

[root@sentos7 ~]#useradd -D

GROUP=100                -N选项,如果不创建同名主组,则属于这个组

HOME=/home                    家目录位置

INACTIVE=-1               过期之后还可以登录的天数,-1表示不会锁死

EXPIRE=                       账号有效期,默认99999

SHELL=/bin/bash         默认使用的shell类型

SKEL=/etc/skel             创建家目录的源文件地址

CREATE_MAIL_SPOOL=yes 是否创建mail

useradd -D -s /bin/csh 修改默认shell类型

useradd -D -b /dir             修改默认家目录

usreadd -D -g group          -N选项之后默认的主组

 

练习:

1.创建用户gentoo,附加组为bin和root,默认shell为/bin/csh,注视信息

“Gentoo Distribution”

useradd -G bin,root -s /bin/csh -c “Gentoo Distrition” gentoo

2.创建下面的用户、组和组成员关系

名字为webs的组

用户名nginx使用webs作为附属组

用户varnish,也是用webs作为附加组

用户mysql,不可交互式登录系统,也不是webs的成员,nginx,

varnish,mysql密码都是magedu

grpadd webs

useradd -G webs nginx

useradd -G webs varnish

useradd -r     mysql

echo magedu |passwd –stdin nginx

echo magedu |passwd –stdin varnish

echo magedu |passwd –stdin mysql

 

新建用户的相关文件和命令

/etc/default/useradd     新建用户默认信息

/etc/skel/                            家目录复制地址

/etc/login.defs                     添加用户配置信息

/var/spool/mail                   邮箱路径

newusers passwd格式文件:     批量创建用户

chpasswd                                  批量修改用户口令

如:    [root@sentos7 ~]#cat f2

newmike:maduge

[root@sentos7 ~]#cat f2 |chpasswd

 

 

usermod:用户属性修改

usermod [options] login

-u UID                         新UID

-g GID或者group              新主组

-G Group1[,Group]..     新附加组,原来的附加组将会被覆盖

-aG                             若保留原有,则要同时使用-a 选项

-s shell                 新的默认使用shell

-c ’comment‘:             新的注释信息

-d home                     修改家目录,新的家目录不会自动创建

-dm home                   创建新家目录并移动原家数据

-l login.name        新的名字,改名之后家目录,邮箱不变

-L:                     lock指定用户,在/etc/shadow密码栏增加!

-U:                            unlock指定用户,将/etc/shadow密码栏的!拿掉

-e                                yyyy-MM-DD:指明用户账号过期时间

-f INACTIVE:              设定非活动期限,宽限期

-p, –password PASSWORD

use encrypted password for the new password

用加密之后的明文设置密码

例:

usermod -u 7888 hello

修改hello的uid为7888

usermod -g root hello

修改hello的主组为root

usermod -aG lily hello

将hello添加到附加组lily

 

userdel:删除用户:

userdel [option]… login.name

-r:          删除用户家目录

 

id:查看用户的ID信息:

id [option]…[USER]

-u:          显示UID

-g:          显示GID

-G:      显示用户所属附加组的ID

-n:          显示名称,需配合ugG使用

 

su:switch user切换用户或以其他用户身份执行命令

su [option]..[-] [user[args..]]

切换用户的方式:

su username         非登录式切换,不会读取目标用户的配置文件,不改变当前

工作目录

su – username      登录式切换,会不去目标用户的配置文件,切换至家目录,

完全切换

root su至其他用户无需密码,非root用户切换时需要密码

退出用exit,ctrl+d,不要嵌套su

 

su [-] username -c ‘cmd’     换个身份执行命令,执行完之后退回

su – hello -c “cat /etc/shadow”

su -l –login  相当于su – username

 

passwd:设置密码:

passwd [options] username: 修改指定用户的密码

 

常用选项:

-d          删除指定用户的密码

-l            lock锁定指定用户,加!

-u          unlock,解锁指定用户,去掉!

-e          强制用户下次登录修改密码

-f    强制操作

-n mindays:          指定最短使用期限

-x maxdays: 最大使用期限

-w warndays:     提前多少天开始警告

-i inactivedays:过期还可以使用的天数

–stdin:从标准输入接收用户密码

例:

echo helloyou |passwd –stdin -n 3 -i 5 hello

修改hello的密码 最小使用天数3天,过期之后锁定时间5天

echo redhat |passwd –stdin hello &> /dev/null

修改hello的密码为redhat 影藏标准输出和标准错误

 

chage:修改用户密码策略

chage [option]…login.name

-d lastdays                  还可以继续使用的天数

-E –expire.date days   指定失效时间

-I –inactive days             过期之后锁定的时间

-m –mindays days            最小使用期限

-M –maxdays days            最长使用时间

-W –warndays days          提醒时间

例:

chage -d 0 tom          passwd -e tom

设置tom账号下一次登录修改密码

chage -m 0 -M 9999 -W 5 -I 7 tom

设置tom账号的密码最小使用时间0,最大9999,提醒5 冻结7

chage -E 2200-09-16   hello

usermod -e

设置tom账号失效时间2200-9-16

 

其他相关命令:

chfn:修改用户注释信息,

usermod -c类似

[root@sentos7 ~]#chfn hello

Changing finger information for hello.

-f    Name [hello]:

-o   Office [hahah]: 原office为hahah,冒号后输入新的

-p   Office Phone [12345]: 不修改可以直接回车

-h   Home Phone [54321]:

 

Finger information not changed.

例:

chfn -f hello -h 76521 hello

修改hello的名为hello,homephone为76521

 

chsh:(-s)修改指定shell

chsh -l 列出当前所有shell, cat /etc/shells

chsh -s /bin/bash hello

修改hello默认shell为csh

 

finger:查看当前系统登录的用户信息,类似who

finger hello

查看用户hello信息(name,bin,lastlogin ip)

 

groupadd:创建组

groupadd [option]…group.name

-g GID           指明GID号,[DID_MIN,GID-max]

-r:                 创建系统组

CentOS6:<500

CentOS7:<1000

具体规则查看/etc/login.defs

 

groupmod:组属性修改

groupadd [option]…group

-n group.name            修改组名

-g GID:              新的GID

 

groupdel:组删除

groupdel GROUP

 

gpasswd:更改组密码

gpasswd [option] group

gpasswd notbook        修改密码

不支持标准输入

-a user          将user添加至指定组中

-d user          从指定组中移除用户user

-A user1,user2,..    设置有管理权限的用户列表

 

newgrp:临时切换主组

newgrp hello

临时切换主组为hello

exit或者ctrl+d退出

如果用户本不属于此组,则需要组密码

 

groupmems :更改组成员

groupmems [options] [action]

-g,–group groupname      root only

-a,–add username                    指定用户加入组

-d,–delete username         指定用户从组中删除

-p,–purge                                删除组所有成员

-l,–list                             显示组成员列表

例:

groupmems -g hello -a lily

usermod -aG hello lily

gpasswd -a hello lily

将lily添加到组hello的三种写法

groupmems -g hello -d mady

将lily从hello中删除

groupmems -g hello -p

清除hello附加组所有成员

groups:

groups hello

查看hello的所有组,主组+附加组

 

其他命令:

pwunconv     passwd里面显示密码,shadow就不存在了

pwconv         将passwd中密码放入shadow

getent passwd                    查看passwd

getent passwd hello            只看hello的passwd

getent passwd |shadow | group |gshadow

 

 

文件权限:

文件的权限主要针对三类对象进行定义:

owner:属主,u

group:属组,g

othe:其他,o

每个文件针对每类访问者都定义了三种权限

r:     Readable 读,查看权限,可使用文件查看类工具获取其内容

w:    Writealbe       写,修改权限,可修改其内容

x:     eXcutable       执行权限,可以把此文件提请内核启动为一个进程

ps:

普通用户不能改文件所有者

所有者修改文件所属组,要求自己必须在相同组才能改

对于root账号,rw权限不受控制,x权限受影响

ugo只要有一个x,root就可以执行此文件 ,x全为-,则无法执行

对于普通用户,没有r只有w,不能打开,但是能有>,>>写入

可执行文件,无需r只需x即可执行,r全是有时会需要,比如file

删除文件需要目录的w权限

 

目录:

r:可以使用ls查看此目录中文件列表

w:可在此目录中创建文件,也可删除此目录中的文件

x:可以使用ls -l 查看此目录中的文件列表,可以cd进入此目录

X:只给目录x权限,不给文件x权限

ps:

没有r权限,有x权限,可以进入目录,无法查看文件列表,可以查看

文件内容

有r权限,没有x权限,不能进入目录,不能目录里面的详细属性,也

不能查看文件内容

 

有w权限,没有x权限,无法删除里面文件

有w权限,没有r权限,可以删除里面文件

要执行目录下的文件,必须对目录具有x权限

 

用户获取文件(目录)权限:

所有者—所属组–other,一旦匹配,不看其他

如果是所有者,只看—-,不看后面

如是是所属组,直接所属组权限生效,不看other权限

 

chown:修改文件的属主

chown [option]..[owner][:[group]] file

chown hello f1                    修改文件f1的属主为hello

chown hello:hello f1  修改文件f1的属主和组为root,hello

(:group)只修改属组,不建议使用

-R   递归,针对目录

chown –reference=f1 f2 修改f2的owner:group和f1相同

 

chgrp:修改文件所属组

chgrp [option] group file

chgrp lily f1    修改文件f1所属主为lily

chgrp -R              递归,针对目录

chgrp –reference=f1 f2 修改f2的group和f1相同

 

文件权限操作:

drwxr-xr-x. 2 root   root     6 Mar 28 03:47 Desktop

drwxr-xr-x. 2 root   root     6 Mar 28 03:47 Documents

r:4

w:2

x:1

2-4位,owner权限

5-7位,group权限

8-10位,other权限

八进制数表示:    Octal-mode

— 000 0

–x  001  1

-w- 010 2

-wx 011 3

r– 100 4

r-x 101 5

rw- 110 6

rwx 111 7

如:

rwxr-xr-x       755

rw——-     600

 

修改文件权限:

chmod [option]..octal-mode file

-R   递归

chmod 644 f1       修改文件f1权限为644

chmod -R 777 dr1 递归修改dr1下所有文件权限为777

chmod [option]..mode,[mode]…file

chmod u=rw,g=rw,o=r f3

修改文件f3的权限为:rw-rw-r–

修改一类用户的所有权限:

u= g= o= ug= a=

u=,g=,o= 清空

修改一类用户某位或某些权限

u+r,g-rw,o+r,o-w…a+r,a-x….

chmod [option] –reference=f1 f2 f3

参考f1设置f2,f3的所有权限

 

例:

chmod u+wx,g-r,o=rx file

修改文件file权限,u+wx g-r o=rx

chmod -R g+rwX /testdir

递归修改目录testdir权限,g+rwX

 

新建文件和目录的默认权限:

umask指:可以用来保留新创建文件权限

新建file权限:666-umask指

如果所得结果某位存在执行(奇数)权限,则其权限+1

新建dir权限:777-umask

非特权用户umask是002

root账号的umask是022

umask           查看umask值

umask -S       模式方式显示

umask 2222   设置umask值为222

umask u=rwx,g=r,o=    模式方式修改umask

umask -p       输出可别调用,多了个名字。。

如:

umask -p >>.bashrc

umask文件地址:

/etc/bashrc           全局

~/.bashrc              用户设置

 

练习:

1.当用户docker对/testdir目录无执行权限是,意味着无法做哪些操作

无法进入目录

可以用ls查看列表,但是无法查看文件属性类型

就算对目录中的文件有rw权限,也无法查看和写入>>也不行

 

2.当用户mongodb对/testdir目录无读权限时,意味着无法做哪些操作

可以进入目录,无法查看文件列表,可以查看ll file详细信息

可以执行目录内程序,cat file可以查看文件内容

如果对文件有w权限,还可以通过>>写入文件

3.当用户redis对/testdir目录无写权限时,该目录下的只读文件file1是否

可以修改和删除

不能

4.当用户zabbix对/testdir具有写执行权限时,该目录下的制度文件file1是否

可修改和删除?

可以删除,不能修改

5.复制/etc/fstab文件到/var/tmp下,设置文件所有者为tomcat读写权限,所属

组为apps组有读写权限,其他人无权限

cp /etc/fstab /var/emp/

chmod 650 /var/tem/fstab

6.误删除了用户git的家目录,请重建并回复该用户家目录及相应的权限属性

cp -r /etc/skel/ /home/git

chown -R git:git /home/git

 

linux文件系统上的特殊权限:

SUID,SGID,Sticky

三种常用权限:r,w,x           user,group,other

安全上下文

前提:进程有属主和属组:文件有属主和属组

1.任何一个可执行程序文件能不能启动为进程,取决于发起者对程序文件是否

拥有执行权限

2.启动为进程之后,起进程的属主为发起者,进程的属组为发起者所属的组

3.进程访问文件的权限,取决于进程的发起者

a.进程的发起者,同文件的属主:则应用文件属主权限

b.进程的发起者,属于文件属组,则应用文件文件属组权限

c.应用文件“其他”权限

 

可执行文件上SUID权限:

任何一个可执行程序文件能不能启动为进程:取决于发起者对程序文件是否

拥有执行权限

启动为进程之后,其进程的属主为原程序文件的属主

SUID只对二进制可执行程序有效

SUID设置在目录上无意义

权限设定:

chmod u+s file

chmod u-s file

 

可执行文件上SGID

任何一个可执行程序文件能不能启动为进程:取决于发起者对程序文件是否

拥有执行权限

启动为进程之后,其进程的属组为原程序文件的属组

权限设定:

chmod g+s file

chmod g-s file

 

目录上的SGID权限:

默认情况下,用户创建文件时,其属组为此用户所属的主组

一旦某目录被设定了SGID,则对此目录有写权限的用户在此目录中创建的文件

所属的组为此目录的属组

通常用于创建一个协作目录

权限设定:

chmod g+s DIR

chmod g-s DIR

 

Sticky 位

具有写权限的目录通常用户可以删除该目录中的任何文件,无论该文件的权限

或拥有权

在目录设置Sticky位,只有文件的所有者或root可以删除该文件

sticky设置在文件上无意义

权限设定:

chmod o+t DIR…

chmod o-t DIR…

 

特殊权限数字法:

SUID:      4—

GUID:     2—

sticky      1—

 

权限位映射:

SUID:      user,占据属主的执行权限位:

s:属主拥有x权限

S:属主没有x权限

SGID:      group,占据属组的执行权限位

s:     group拥有执行权限位

S: group没有x权限

Sticky:other,占据other的执行权限位

t:     other拥有x权限

T:  other没有x权限

 

设定文件特定属性:

chattr +i 不能删除,改名,更改

-i           取消

chatr +a  只能追加内容

-a           取消

chattr +A      锁定atime

lsattr              显示特定属性

-R          可以递归

chattr +i /data/11         给/data/11增加锁定,不能删除更改改名

chattr +a /data/11        给/data/11增加锁定,只能追加内容

i存在的情况,a存在,也无法追加数据

chattr -i -a /data/11     取消data/11的特定权限

 

访问控制列表

ACL:Access Control List,实现灵活的权限管理

除了文件的所有者,所属组和其他人,可以对更多的用户设置权限

CentOS7 默认创建的xfs和ext4文件系统具有ACL功能

CentOS7 之前的版本,默认手工创建的ext4文件系统无ACL功能,需手动增加

(安装系统的时候创建的分区默认安装了acl,后续分区默认不带)

tune2fs -o acl /dev/sdb1

mount -o acl /dev/sdb1 /mnt/test

如添加了ACL权限,权限后面的.就会变成+

-rw-r–r–. 1 root root 8127 Apr 6 21:59 f16

未添加ACL

drwxrwxrwx+ 2 root root   49 Apr 7 01:55 23

已添加ACL

ACL生效顺序:

所有者,自定义用户,自定义组,其他人

PS:

用户所具有的组权限,为所有的组权限叠加取最大权限

[root@sentos7 /data]#getfacl 234

# file: 234

# owner: root

# group: root

# flags: -s-           显示特殊权限

user::r-x                所有者owner,

user:hello:rwx        自定义用户user

group::r-x

group:hello:rwx

group:lily:rwx        自定义组

mask::rwx                    组最高权限

other::-wx                    others

 

为多用户或者组的文件和目录赋予访问权限rwx

getfacl    f1 dr1

查看f1,目录dr1的acl权限

 

setfacl [-bkndRLP] { -m|-M|-x|-X … } file …

 

setfacl -m, –modify=acl u:hello:rwx 35 23

修改文件35,目录23的acl权限,使user用户hello具有rwx权限

setfacl     -Rm g:lily:rwX 23

递归修改目录23的acl权限,使lily组用户具有rwX权限

setfacl -M file.acl f5 234

按照文件file.acl中的权限设置文件f5 目录234的权限

[root@sentos7 /data]#cat file.acl

u:hello:rwx

g:lily:rwx

g:hello:rwx

 

setfacl -m d:u:wang:rx dir

-d, –default   operations apply to the default ACL

setfacl -d -m u:hello:rwx dir1

不能写成-m -d

设置目录dir的默认acl权限,给用户wang 附件rx权限,

默认对于目录下新建的文件或者目录默认附加相同权限,

对于现有文件,权限无变化

setfacl -x u:hello file|dir

清空hello用户对于file|dir的acl权限

setfacl -X file1.acl file dir

按照文件文件file1.acl删除文件file 目录dir的权限

setfacl -RX file3 dir1 如需递归,-R应在X的前面

setfacl -k dir

删除默认(default)ACL权限

setfacl -b file1

清除所有acl权限

getfacl file1 |setfacl –set-file=- file2

复制file1的acl权限给file2

–set选项会把原有的ACL项都删除,用新的替代,需要注意的是一定要

包含UGO的设置,不能像-m一样只是添加ACL就可以

示例:

setfacl –set u::rw,u:wang:rw,g::r,o::- file1

 

cp -p/-a f1 f2

复制文件用-p选项可以保留源acl权限

 

mask值:

ACL文件上的group权限是mask值(自定义用户,自定义组,用户组的最大权限)

而非传统的组权限,相当于限高

getfacl可以看到特殊权限:flags

通过ACL赋予目录默认x权限,目录内文件也不会继承x权限

base ACL不能删除

mask只影响除所有者和other之外的人和组的最大权限

mask需要与用户的权限进行与运算后,才能变成有限的权限

用户或组的设置必须存在于mask的权限设定范围内才会生效

setfacl -m mask::rx file1

设置文件file1的mask值为rx

 

备份和恢复acl

主要的的文件操作命令cp和mv都支持acl,只是cp命令需要加上-p选项

但是tar等常见的备份工具是不会保留目录和文件的acl信息

示例:

getfacl -R /tmp/dir1 >acl.txt

setfacl -R -b /tmp/dir1

setfacl -R –set-file=acl.txt /tmp/dir1

setfacl –restore acl.txt

getfacl -R /tmp/dir1

 

练习:

1.在/testdir/dir里创建的新文件自动属于webs组,组apps的成员如:

tomcat能对这些新文件有读写权限,组dbs的成员如:mysql只能对新文件有读

权限,其他用户(不属于webs,apps,dbs)不能访问这个文件夹

chgrp webs /testdir/dir

chmod g+s /testdir/dir

chmod o= /testdir/dir

setfacl -m d:g:apps:rw,d:g:dbs:r /tsetdir/dir

 

2.备份/testdir/dir里面所有文件的acl权限到/root/acl.txt中,清除

/testdir/dir中所有acl权限,最后还原acl权限:

getfacl -R /testdir/dir >/root/acl.txt

setfacl -R -b /testdir/dir

setfacl -R –set-file=/root/acl.txt

getfacl -R /testdir/dir

 

 

 

笔记整理完成时间:2018年4月7日11:42:24

 

 

 

 

 

本文来自投稿,不代表Linux运维部落立场,如若转载,请注明出处:http://www.178linux.com/95200

联系我们

400-080-6560

在线咨询

工作时间:周一至周五,9:30-18:30,节假日同时也值班

QR code