linux权限管理
权限管理
1文件的基本权限
1.1基础权限
root拥有最高权限
-rw-r--r-- 1 root root 1548 May 7 00:18 /etc/passwd
- | rw- | r-- | r-- | root | root | time | filename |
---|---|---|---|---|---|---|---|
文件类型 | 拥有者权限 | 所属组权限 | 其他人的权限 | 拥有者 | 属组 | 最后修改时间 | 对象 |
其中文件类型
文件类型 | 解释 |
---|---|
p | 管道文件 |
d | 目录 |
l | 链接文件 |
- | 普通文件 |
s | socket套接口文件.比如我们启用mysql时,会产生一个mysql.sock文件 |
c | 表示字符设备文件 |
b | 表示块设备文件 |
权限
权限 | 对文件来说 | 对目录来说 |
---|---|---|
r | 读 | 读(看目录里面有什么) |
w | 写 | 在目录里面操作文件 |
x | 执行 | 进入目录 |
常用的几种文件权限组成
权限 | 说明 |
---|---|
-rwx --- --- | 文件所有者对文件具有读取,写入和执行的权限 |
-rw- r-- r-- | 文件所有者具有读,写的权限,用户组里用户和其他用户具有读取的权限 |
-rw- rw- r-x | 文件所有者和同组里用户对文件具有读写的权限,其他用户仅具有读取和执行的权限 |
drwx --x --x | 目录所有者具有读写和进入目录的权限,其他用户仅能进入该目录,却无法读取任何数据 |
drwx --- --- | 除了目录所有者具有完整权限外,其他用户对该目录完全没有任何权限 |
更改文件的属主和属组
- chown 用来改变文件或者目录的属主
- chgrp 可以用来改变文件或目录的默认属组(不常用)
- 参数-R,递归修改目录下的所有文件,修改目录时用
更改属主
chown user filename
更改属主和属组
chown user:group filename
更改属组
chown :group filename
例
[root@meditation sunlizhao]# ll
total 0
-rw-rw-r-- 1 sunlizhao sunlizhao 0 Jun 24 21:49 test.sh
更改属主
[root@meditation sunlizhao]# chown root test.sh
[root@meditation sunlizhao]# ll
total 0
-rw-rw-r-- 1 root sunlizhao 0 Jun 24 21:49 test.sh
更改属主和属组
[root@meditation sunlizhao]# chown sunlizhao:root test.sh
[root@meditation sunlizhao]# ll test.sh
-rw-rw-r-- 1 sunlizhao root 0 Jun 24 21:49 test.sh
更改属组
[root@meditation sunlizhao]# chown :sunlizhao test.sh
[root@meditation sunlizhao]# ll test.sh
-rw-rw-r-- 1 sunlizhao sunlizhao 0 Jun 24 21:49 test.sh
一个文件只有读的权限,拥有者可以修改这个文件吗?
文件所有者一定可以写文件
1切换到属主,查看权限
[root@meditation sunlizhao]# su sunlizhao
[sunlizhao@meditation ~]$ ll
total 0
-r--r--r-- 1 sunlizhao sunlizhao 0 Jun 24 21:49 test.sh
2发现没有权限,尝试使用vim进行写如内容:qqq.并强制保存退出:wq!
[sunlizhao@meditation ~]$ cat test.sh
[sunlizhao@meditation ~]$ vim test.sh
[sunlizhao@meditation ~]$ cat test.sh
qqq
修改文件,目录的权限
语法:chmod [对谁操作] [操作符] [赋予什么权限] 文件名
对谁操作 | 解释 |
---|---|
u | 用户user,表示文件或目录的所有者 |
g | 用户组group,表示文件或目录的所属用户组 |
o | 其他用户others |
a | 所有用户 |
作符号 | 解释 |
---|---|
+ | 添加权限 |
- | 减少权限 |
= | 直接给定一个权限 |
例
[root@meditation sunlizhao]# ll
total 4
-r--r--r-- 1 sunlizhao sunlizhao 4 Jun 24 22:15 test.sh
赋予文件的所有者和所属组只有读和写权限
[root@meditation sunlizhao]# chmod ug=rw test.sh
[root@meditation sunlizhao]# ll
total 4
-rw-rw-r-- 1 sunlizhao sunlizhao 4 Jun 24 22:15 test.sh
赋予文件其他用户执行权限
[root@meditation sunlizhao]# chmod o+x test.sh
[root@meditation sunlizhao]# ll
total 4
-rw-rw-r-x 1 sunlizhao sunlizhao 4 Jun 24 22:15 test.sh
八进制修改权限
权限 | 二进制 | 八进制 | 描述 |
---|---|---|---|
--- | 000 | 0 | 没有任何权限 |
--x | 001 | 1 | 只有执行权限 |
-w- | 010 | 2 | 只有写入权限 |
-wx | 011 | 3 | 有执行和写入权限 |
r-- | 100 | 4 | 只有读取权限 |
r-x | 101 | 5 | 有读取和执行权限 |
rw- | 110 | 6 | 有读取和写入权限 |
rwx | 111 | 7 | 有全部权限 |
rwx的权限分别是4,2,1 .使用计算后的数值. 比如rwxr-x--x用751来表示
1.2补码
为什么我们创建的文件的权限默认是644呢?
我们创建文件的默认权限是怎么来的呢
umask命令允许设定文件创建时的缺省模式
永久更改:
修改配置文件中的umask值
- /etc/profile
- ~/.bash_profile
- ~/.profile
[root@meditation ~]# vim /etc/profile
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask 002
else
umask 022
fi
UID大于199且用户的组名和用户名一样,那么umask值为002,否则为022
普通用户一般umask值为022
计算方法
- 文件默认权限是666
- 目录默认权限是777
- 666-022=644
- 777-022=755
这是一个好的记忆方法,但是不严谨.设置为033就会出错
正确的计算方法是
1, 将默认权限(目录777,文件666)和umask值都转换为2进制
2, 对umask取反
3, 将默认权限和umask取反后的值 做与运算
4,将得到的二进制再转换为8进制,即为权限
例子:umask为033
文件默认权限666的二进制为110 110 110 #1转换2进制
umask值为033的二进制为000 011 011
umask值得二进制取反为111 100 100 #2umask二进制后取反
110 110 110 和 111 100 100做与运算得到110 101 101 #3 与运算
110 101 101 #4转成8进制,得到权限
6 4 4
临时配置
[root@meditation ~]# umask 044
[root@meditation ~]# touch text.sh
[root@meditation ~]# mkdir text
[root@meditation ~]# ll text.sh -d text
drwx-wx-wx 2 root root 4096 Jun 24 23:42 text
-rw--w--w- 1 root root 0 Jun 24 23:41 text.sh
666-044=622
777-044=533
2特殊权限
文件的特殊权限
suid | sgid | sticky |
---|---|---|
u+s | g+s | o+t |
SUID
只能设置在二进制可执行程序上面.对目录设置无效
功能:程序运行时的权限从执行者变更为 程序所有者的权限
例子
[root@meditation ~]# which passwd
/usr/bin/passwd
[root@meditation ~]# ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 27832 Jun 10 2014 /usr/bin/passwd
SUID属性一般用在可执行文件上,当用户执行该文件时,会临时拥有该执行文件的所有者权限
当我们使用passwd时,会获得所有者root的权限
比如普通用户用passwd修改密码.其实根本没有权限去修改/etc/shadow文件.也是在使用passwd修改时,获得的权限
例:为less增加权限,可以在普通用户下执行获得所有者root的权限
[sunlizhao@meditation ~]$ less /etc/shadow
/etc/shadow: Permission denied
[sunlizhao@meditation ~]$ su root
Password:
[root@meditation sunlizhao]# chmod u+s /usr/bin/less
[root@meditation sunlizhao]# su - sunlizhao
Last login: Tue Jun 25 00:34:59 CST 2019 on pts/0
[sunlizhao@meditation ~]$ less /etc/shadow
sunlizhao:$1$ovE1KmR/$VjboKPTHp83/K5q8UqdgF.:18022:0:99999:7:::
SGID
即可以给二进制可执行程序设置,也可以给目录设置
功能,在设置了SGID权限的目录下简历文件时,新创建的文件的所属组会继承上级目录的权限
例:为目录设置SGID权限后,更改GID.在目录下创建文件,发现GID继承上级目录
[root@meditation sunlizhao]# mkdir test10
[root@meditation sunlizhao]# chmod g+s test10/
[root@meditation sunlizhao]# chown :bin test10/
[root@meditation sunlizhao]# ll -d test10/
drwxr-sr-x 2 root bin 4096 Jun 25 00:45 test10/
[root@meditation sunlizhao]# touch ./test10/test.sh
[root@meditation sunlizhao]# ll ./test10/test.sh
-rw-r--r-- 1 root bin 0 Jun 25 00:48 ./test10/test.sh
sticky
只作用于目录
功能: 目录下创建的文件只有root,文件创建者,目录所有者才能删除
文件扩展权限ACL
例:设置用户sunlizhao对文件test.sht拥有rwx权限,sunlizhao用户不属于test.sh的所属主和组,又不想给other提权,该怎么做
[root@meditation ~]# setfacl -m u:sunlizhao:rwx /tmp/test.sh
[root@meditation ~]#
例2给目录加扩展权限(默认可以,不加d也可以)
[root@meditation ~]# mkdir /tmp/test
[root@meditation ~]# setfacl -m d:u:sunlizhao:rwx /tmp/test
[root@meditation ~]#
例3给目录下所有文件增加扩展权限
[root@meditation ~]# setfacl -R -m u:sunlizhao:rwx /tmp/test
[root@meditation ~]#
去掉所有ACL权限
[root@meditation tmp]# ll
drwxrwxr-x+ 2 root root 4096 Jun 25 01:21 test
-rw-rwxr--+ 1 root root 5 Jun 25 01:18 test.sh
[root@meditation tmp]# setfacl -b /tmp/test.sh
[root@meditation tmp]# setfacl -b /tmp/test
[root@meditation tmp]# ll
drwxr-xr-x 2 root root 4096 Jun 25 01:21 test
-rw-r--r-- 1 root root 5 Jun 25 01:18 test.sh
3创建一个root无法删除的文件
centos6开始有的
chattr [选项] 文件
选项
+a 只能追加内容
+i 系统不允许对这个文件进行任何的修改,如果是目录,那么只能修改目录下的文件,不允许建立和删除文件
-a 取消a
-i 取消i
lsattr 查看