linux

POSIX ACL详解

一、 为什么要使用ACL

先让我们来简单地复习一下Linux的文件权限。
在 linux下,对一个文件(或者资源)可以进行操作的对象被分为三类: file owner(文件的拥有者),group(组,注意不一定是文件拥有者所在的组), other (其他)而对于每一类别又分别定义了read, write and execute/search 权限 (这里不讨论SUID, SGID以及Sticky bit的设置)通过ls -l命令就我们就可以列出一个文件的权限

代码:

[leonard@localhost ~]$ ls -l
-rw-rw---- 1 leonard admin 0 Jul 3 20:12 test.txt

在这里说明了对于test.txt这个文件leonard用户(由是file owner)拥有read & write权限. 所有属于admin 组的用户(group)拥有read & write 权限. 其他任何用户(other)
对于文件没有任何的权限

如果我们现在希望john这个用户也可以对test.txt文件进行读写操作. 我自己大概会想到
以下几种办法 (这里假设john不属于admin group)

1. 给文件的other类别增加读和写的权限. 这样由于john会被归为other类别,那么他也将拥有读写的权限。
2. 将john加入到admin group. 那么john会被归为group类别,那么他将拥有读写的权限。
3. 设置sudo, 使john能够以leonard的身份对test.txt进行操作,从而获得读写权限。
  • 第一种做法的问题在于所有用户都将对test.txt拥有读写操作,显然这种做法不可取。

  • 第二种做法的问题在于john被赋予了过多的权限.所有属于admin组的文件,john都可以拥
    有其等同的权限了。

  • 第三种做法虽然可以达到只限定john用户一人拥有对test.txt文件的读写权限.但是需要
    对sudoers文件进行严格的格式控制. 而且当文件数量和用户很多的时候,这种方法就相当
    地不灵活了。看来好像都没有一个很好的解决方案. 其实问题就出在Linux 文件权限里面,对于other的定义过于广泛,以至于很难把权限限定于一个不属于file owner和group的用户身上. 那Access Control List (ACL)就是用来帮助我们解决这个问题的。

简单地来说ACL就是可以设置特定用户或者用户组对于一个文件/文件夹的操作权限. 需要
掌握的命令也只有三个: getfacl, setfacl, chacl

在接下去讨论之前大家可以先安装上ACL的RPM包
代码:

# rpm -ivh libacl-2.2.39-1.1 acl-2.2.39-1.1.i386.rpm

如果配置好了yum可以直接安装这两个包

# yum -y install libacl acl

另外还需要磁盘分区的支持永久启用acl。我这里以自己的分区/data为例

# vi /etc/fstab
LABEL=/data /data ext3 defaults,acl 1 2

在启用了acl参数之后重新加载/data分区

# mount -o remount /data
# cat /etc/mtab | grep /data
/dev/sda5 /data ext3 rw,acl 0 0

出现上面的信息代表分区的acl功能已经正常加载

 

二、ACL的名词定义

先来看看在ACL里面每一个名词的定义.这些名词我大多从man page上摘下来虽然有些枯燥,
但是对于理解下面的内容还是很有帮助的

ACL 是由一系列的Access Entry所组成的. 每一条Access Entry定义了特定的类别可以对
文件拥有的操作权限. Access Entry有三个组成部分: Entry tag type, qualifier
(optional), 权限

我们先来看一下最重要的Entry tag type, 它有以下几个类型

  • ACL_USER_OBJ: 相当于Linux里file_owner的权限
  • ACL_USER: 定义了额外的用户可以对此文件拥有的权限
  • ACL_GROUP_OBJ: 相当于Linux里group的权限
  • ACL_GROUP: 定义了额外的组可以对此文件拥有的权限
  • ACL_MASK: 定义了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大权限 (这个我下面还会专门讨论)
  • ACL_OTHER: 相当于Linux里other的权限

让我们来据个例子说明一下. 下面我们就用getfacl命令来查看一个定义好了的ACL文件

代码:

[root@zyq-server data]# getfacl test.txt
# file: test.txt
# owner: root
# group: family
user::rw-
user:zyq:rw-
group::rw-
group:jackuser:rw-
mask::rw-
other::---

前面三个以#开头的定义了文件名,文件所有者和文件拥有组. 这些信息没有太大的作用,我
们可以用 –omit-header来省略掉
user::rw- 定义了ACL_USER_OBJ, 说明file owner拥有读和写的权限

user:zyq:rw- 定义了ACL_USER,这样用户zyq就拥有了对文件的读写权限,实现了我们一开始要达到的目的

group::rw- 定义了ACL_GROUP_OBJ,说明文件的group拥有read和write 权限

group: jackuser:rw- 定义了ACL_GROUP,使得jackuser组拥有了对文件的read 和write权限

mask::rw- 定义了ACL_MASK的权限为read and write

other::— 定义了ACL_OTHER的没有任何权限操作此文件

从这里我们就可以看出ACL提供了我们可以定义特定用户和用户组的功能. 那么接下来我们就来
看一下如何设置一个文件的ACL

 

三、 如何设置ACL文件

首先我们还是要讲一下设置ACL文件的格式. 从上面的例子中我们可以看到每一个Access Entry都是由三个被:号分隔开的字段所组成. 第一个就是Entry tag type

user 对应了ACL_USER_OBJ和ACL_USER
group 对应了ACL_GROUP_OBJ和ACL_GROUP
mask 对应了ACL_MASK
other 对应了ACL_OTHER

第二个字段称之为qualifier.也就是上面例子中的zyq和jackuser组.它定义了特定用户和用户组,对于文件的权限.这里我们也可以发现只有user和group才有qualifier,其他的都为空.
第三个字段就是我们熟悉的权限了. 它和Linux的权限一样定义,这里就不多讲了
下面我们就来看一下怎么设置test.txt这个文件的ACL让它来达到我们上面的要求

一开始文件没有ACL的额外属性

代码:

[root@zyq-server data]# ll test.txt
-rw-r--r-- 1 root root 0 12-27 22:55 test.txt
[root@zyq-server data]# getfacl test.txt
# file: test.txt
# owner: root
# group: root
user::rw-
group::r--
other::r--

[root@zyq-server data]# getfacl -c test.txt
user::rw-
group::r--
other::r--

我们先让用户zyq拥有对test.txt文件的读写权限

代码:

[root@zyq-server data]# setfacl -m u:zyq:rw test.txt
[root@zyq-server data]# getfacl -c test.txt
user::rw-
user:zyq:rw-
group::r--
mask::rw-
other::r--

这时我们就可以看到zyq用户在ACL里面已经拥有了对文件的读写权限. 这个时候如果我们
查看一下linux的权限我们还会发现一个不一样的地方

代码:

[root@zyq-server data]# ll test.txt
-rw-rw-r--+ 1 root root 0 12-27 22:55 test.txt

在文件权限的最后多了一个+号. 当任何一个文件拥有了ACL_USER或者ACL_GROUP的值以后我
们就可以称它为ACL文件.这个+号就是用来提示我们的
我们还可以发现当一个文件拥有了ACL_USER或者ACL_GROUP的值时ACL_MASK同时也会被定义

接下来我们来设置jackuser组拥有read 权限

代码:

[root@zyq-server data]# ll test.txt
-rw-rw-r--+ 1 root root 0 12-27 22:55 test.txt
[root@zyq-server data]#
[root@zyq-server data]# setfacl -m g:jackuser:r test.txt
[root@zyq-server data]# getfacl -c test.txt
user::rw-
user:zyq:rw-
group::r--
group:jackuser:r--
mask::rw-
other::r--

[root@zyq-server data]# ll test.txt
-rw-rw-r--+ 1 root root 0 12-27 22:55 test.txt

到这里就完成了我们上面讲到的要求.是不是很简单呢

 

四、ACL_MASK 和 Effective 权限

这里需要重点讲一下ACL_MASK, 因为这是掌握ACL的另一个关键,在Linux 文件权限里面大家都知道比如对于rw-rw-r–来说, 第二组中的那个rw-是指文件组的权限. 但是在ACL里面这种情况只是在ACL_MASK不存在的情况下成立. 如果文件有ACL_MASK值,那么当中那个rw-代表的就是mask值而不再是group 权限了

让我们来看下面这个例子

代码:

[root@zyq-server data]# ll test.sh
-rwxrw-r-- 1 root family 0 12-27 23:04 test.sh

 

 

这里说明test.sh文件只有file owner: root拥有read, write, execute/search 权限. Family组只有读和写的权限。现在我们想让用户zyq也对test.sh具有和root一样的权限。

代码:

[root@zyq-server data]# setfacl -m u:zyq:rwx test.sh
[root@zyq-server data]# getfacl -c test.sh
user::rwx
user:zyq:rwx
group::rw-
mask::rwx
other::r--

这里我们看到zyq已经拥有了rwx的权限. mask值也被设定为rwx.那是因为它规定了ACL_USER,ACL_GROUP和ACL_GROUP_OBJ的最大值现在我们再来看test.sh的Linux 权限, 它已经变成了

代码:

[root@zyq-server data]# ll test.sh
-rwxrwxr--+ 1 root family 0 12-27 23:04 test.sh

 

 

那么如果现在family组的用户想要执行test.sh的程序会发生什么情况呢? 它会被权限 deny.原因在于实际上family组的用户只有读和写的权限.这里当中显示的rwx是ACL_MASK的值而不是group的权限,所以从这里我们就可以知道,如果一个文件后面有+标记,我们都需要用getfacl来确认它的权限,以免发生混淆

下面我们再来继续看一个例子
假如现在我们设置test.sh的mask为read only,那么family组的用户还会有write 权限吗?

代码:

[root@zyq-server data]# setfacl -m mask::r test.sh
[root@zyq-server data]# getfacl -c test.sh
user::rwx
user:zyq:rwx #effective:r--
group::rw- #effective:r--
mask::r--
other::r--

这时候我们可以看到ACL_USER和ACL_GROUP_OBJ旁边多了个#effective:r–, 这是什么意思呢?让 我们再来回顾一下ACL_MASK的定义. 它规定了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大权限.那么在我们这个例子中他们的最大权限也就是read only.虽然我们这里给ACL_USER和ACL_GROUP_OBJ设置了其他权限,但是他们真正有效果的只有read权限.
这时我们再来查看test.sh的Linux 文件权限时它的group 权限也会显示其mask的值(i.e. r–)

代码:

[root@zyq-server data]# ll test.sh
-rwxr--r--+ 1 root family 0 12-27 23:04 test.sh

 

 

五、 Default ACL

上面我们所有讲的都是Access ACL, 也就是对文件而言. 下面我简单讲一下Default ACL. Default ACL是指对于一个目录进行Default ACL设置,并且在此目录下建立的文件都将继承此目录的ACL.同样我们来做一个试验说明比如现在leonard用户建立了一个dir目录

代码:

[root@zyq-server data]$ mkdir mydir

我希望所有在此目录下建立的文件都可以被smbuser用户所访问. 那么我们就应该对mydir目录设置Default ACL.我先利用root用户在/data/创建一个mydir的文件夹,然后将这个文件夹的default user权限设置为smbuser可以rw- 以root身份在mydir目录下创建一个test.txt的文件。其他的不做限制,然后切换到smbuser。发现smbuser用户可以修改 test.txt文件中的内容但是无法在mydir目录中创建和删除文件/文件夹

代码:

[root@zyq-server data]# id
uid=0(root) gid=0(root) groups=0(root)
[root@zyq-server data]# ll mydir/
总计 0
[root@zyq-server data]# getfacl mydir/
# file: mydir/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

[root@zyq-server data]# setfacl -m d:smbuser:rw mydir/
[root@zyq-server data]# getfacl mydir/
# file: mydir/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:user:smbuser:rw-
default:group::r-x
default:mask::rwx
default:other::r-x

[root@zyq-server data]# cd mydir/
[root@zyq-server mydir]# touch test.txt
[root@zyq-server mydir]# su - smbuser
[smbuser@zyq-server ~]$ cd /data/mydir/
[smbuser@zyq-server mydir]$ touch a
touch: 无法创建 “a”: 权限不够
[smbuser@zyq-server mydir]$ rm test.txt
rm: 无法删除 “test.txt”: 权限不够
[smbuser@zyq-server mydir]$ echo hello world>>test.txt
[smbuser@zyq-server mydir]$ cat test.txt
hello world

这里我们可以看到ACL定义了default选项, smbuser用户拥有了default的read, write, excute/search 权限.但是却无法删除和创建文件。经过试验,发现还必须将mydir目录的ACL_USER修改为smbuser后,切换到smbuser用户才能够在 mydir目录中创建和删除文件/文件夹

[root@zyq-server data]# setfacl -m u:smbuser:rwx mydir/
[root@zyq-server data]# getfacl -c mydir/
user::rwx
user:smbuser:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:smbuser:rw-
default:group::r-x
default:mask::rwx
default:other::r-x

[root@zyq-server data]# su - smbuser
[smbuser@zyq-server ~]$ cd /data/mydir/
[smbuser@zyq-server mydir]$ touch a
[smbuser@zyq-server mydir]$ ll
总计 4
-rw-rw-r--+ 1 smbuser family 0 12-27 23:43 a
-rw-rw-r--+ 1 root root 19 12-27 23:33 test.txt
[smbuser@zyq-server mydir]$ rm * -rf
[smbuser@zyq-server mydir]$

 

 

下面的试验我们看到在mydir下建立的文件或文件夹都自动的加上了default的权限

[root@zyq-server mydir]# su - smbuser
[smbuser@zyq-server ~]$ cd /data/mydir/
[smbuser@zyq-server mydir]$ ll

总计 0

-rw-rw-r--+ 1 root root 0 12-27 23:48 a
-rw-rw-r--+ 1 root root 0 12-27 23:48 test.tt
[smbuser@zyq-server mydir]$ rm * -rf
[smbuser@zyq-server mydir]$ touch test.txt
[smbuser@zyq-server mydir]$ ll

总计 0

-rw-rw-r--+ 1 smbuser family 0 12-27 23:48 test.txt
[smbuser@zyq-server mydir]$ getfacl -c test.txt
user::rw-
user:smbuser:rw-
group::r-x #effective:r--
mask::rw-
other::r--

[smbuser@zyq-server mydir]$ mkdir smbuserdir
[smbuser@zyq-server mydir]$ getfacl -c smbuserdir/
user::rwx
user:smbuser:rw-
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:smbuser:rw-
default:group::r-x
default:mask::rwx
default:other::r-x

[smbuser@zyq-server mydir]$ ll
总计 4
drwxrwxr-x+ 2 smbuser family 4096 12-27 23:49 smbuserdir
-rw-rw-r--+ 1 smbuser family 0 12-27 23:48 test.txt

六、 ACL 相关命令

前面的例子中我们都注意到了getfacl命令是用来读取文件的ACL, setfacl是用来设定文件的Acess ACL. 这里还有一个chacl是用来改变文件和目录的Access ACL and Default ACL. 它的具体参数大家可以去看man page. 我只想提及一下chacl -B. 它可以彻底删除文件或者目录的ACL属性(包括Default ACL). 比如你即使用了setfacl -x删除了所有文件的ACL属性,那个+号还是会出现在文件的末尾.所以正确的删除方法应该是用chacl -B.
用cp来复制文件的时候我们现在可以加上-p选项.这样在拷贝文件的时候也将拷贝文件的ACL属性.对于不能拷贝的ACL属性将给出警告.mv命令将会默认地移动文件的ACL属性. 同样如果操作不允许的情况下会给出警告

 

七. 需要注意的几点

如果你的文件系统不支持ACL的话,你也许需要重新mount你的file system

mount -o remount, acl [mount point]

如果用chmod命令改变Linux 文件权限的时候相应的ACL值也会改变.反之改变ACL的值,相应的文件权限也会改变

八. 参考资料

    1. man acl 个人感觉man page已经讲的比较详细,只是上面名词比较多看起来会比较繁琐
    1. http://www.suse.de/~agruen/acl/linux-acls/online/ 如果你英语不错的话可以看一下这篇关于POSIX ACL的介绍,上面有许多不错的例子
linux

ubuntu environment variable summary

小蝙一直对linux环境变量修改非常的头痛,每次要改个PATH,需要note上找笔记,结果倒腾来倒腾去,还是没有弄好,找了很多资料,还是没有用,今天就来总结一下,这个环境变量怎么修改,主要参考了Ubuntu的系统文档,有兴趣的朋友可以自己去看一下。

要修改环境变量,就需要当前的环境变量,使用printenv 命令就可以打印出当期的环境变量有哪些,例如小蝙的电脑如下所示:

XDG_SESSION_ID=1
 MAIL=/var/mail/joy
 PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games
 PWD=/home/joy
 LANG=en_US.UTF-8
 SHLVL=1
 HOME=/home/joy

为了文章简短,小蝙故意删了很多,如果想看单独一个变量,就可以用printenv PATH来单独打印环境变量,

/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games,

有个注意的地方,环境变量的命名由大写英文字母和下划线组成。环境变量用赋值表达式就可以了,比如在终端上输入:PATH=/usr/bin,这样就可以了,不过PATH现在改的是shell变量(小蝙说的情况都是在终端上的情况,图形界面是不一样的),要想成为环境变量就要使用export命名,export PATH=/usr/bin….现在用printenv PATH发现改变了,但是重新打开一个终端,你还发现环境变量还是原来的,因为每个shell都有个shell session,图形界面有一个GUI sesion,一旦会话结束,或者启动一个新的会话,那么环境变量还是没有变,那么怎么样才能避免每次更换shell的时候都要手动修改环境变量呢?有下面3种方法,

第一种,也就是小蝙推荐的修改~/.profile文件

.profile文件会在登入shell终端或者desktop启动时会被执行,所以讲修改变量的语句写到这个文件里面,那么就相当于免去了每次手工修改环境变量的痛苦,vim ~/.profile,
在.profile(注意这是一个隐藏文件,用ls -a命令可以看到)的最底部写入赋值语句就行了,比如

export PATH="$PATH:$HOME/MyPATH"

重新登入一次,你会发现PATH已经被修改过了,此外也可以修改~/.bashrc文件,但是有一点区别的是bashrc文件修改的环境变量只是用在bash上,对GUI-session并没有什么修改。修改bashrc文件方法一样,都是在最底部添加上面的语句

第二种,全局修改环境变量

上面的修改方法是小蝙经常使用的,但是具有局限性,只能对当前用户有效,如果更换另外一个账号登入,则修改的变量全部无效,难道又要回到手动修改的过程或者重复第一种方法?当然不是这么做,修改/etc/enviroment文件就可以了,增加一句

PATH="/usr/local/sbin"

就可以修改全部用户的路径变量了,除了PATH,还可以修改很多环境变量哦,当然变量扩展是不支持的,还有一个方法就是在/ete/profile.d/目录下添加一个脚本文件,开机的时候会被自动的执行,例如创建如下脚本myvaribale.sh

export FOO=/usr/lib/jvm/jdk1.7.0
export PATH=$PATH:$FOO_HOME/bin

重启一下,就可以了,除了上面的修改方法,还有就是可以修改/etc/profile文件,/etc/default/locale/etc/bash.bashrc文件,小蝙就不一一详细说了,等会会有读者骂我啰嗦,感兴趣的朋友可以修改一下,方法还是一样的

linux

expect login automatic

小蝙个人比较懒,每次都要登入多台服务器上工作,都要查看note,什么ip啦,端口啦,用户名啦,密码啦如果只有一个,那还是挺好记的,但是如果有10个,甚至更多,而且为了安全,每个服务器的密码都不一样,ip和端口也不一样,这样就非常痛苦了,顾小蝙利用了一下expect软件,用脚本登入就行了,瞬间从痛苦的记忆中恢复过来,要使用expect软件,就要安装expect,小蝙只在linux下作业,windows的同学自己看着办了,应该也很简单的,使用tcl wins版,还有cygwin,MobaXtem等都是不错的windows下linux环境软件。都可以安装expect。

第一步安装expect ,Ubuntu下输入:

sudo apt-get install expect

centos 下输入:

sudo yum install expect

就完事了。

第二步 编写epect解析执行的脚本

语法很简单,可以参考man文档 man expect,就可以看到了或者自己看看tcl的文档,在这里小蝙就不啰嗦了,小蝙写了一个登入服务器的脚本仅供参考:

#!/bin/expect -f
 set timeout 100
 spawn ssh -i id_rsa joy@localhost -p 5848
 expect "Enter passphrase for key 'id_rsa':"
 send "PASSWORD\r"
 interact

保存为login.sh,然后修改一下权限 chmod 755 login.sh,之后就可以通过./login.sh登入了,如果有什么不对的或者你想了解的,留言就可以了