20 Linux 中的访问控制列表 #

在某些情况下，访问权限可能过于严格。因此，Linux 另有一些设置，允许为执行特定操作临时更改当前用户和组标识。例如，passwd 程序通常要求拥有根权限才能访问 /etc/passwd。此文件包含一些重要信息，如用户主目录及用户和组 ID。因此，普通用户将无法更改 passwd，因为授予所有用户直接访问此文件的权限太过危险。此问题的一种可行解决方法是使用 setuid 机制。setuid（设置的用户 ID）是一个特殊文件属性，它指示系统执行相应标记在特定用户 ID 下的程序。以 passwd 命令为例：

-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

您可以看见 s，它表示为用户许可设置了 setuid 位。通过设置 setuid 位，启动 passwd 命令的所有用户都以 root 身份执行该命令。

setuid 位适用于用户。而对组而言也有一个等价的属性：setgid 位。设置了此位的程序基于保存该程序的组 ID 运行，而不论是哪个用户启动了该程序。因此，在设置了 setgid 位的目录中，所有新建文件和子目录都被指派到该目录所属的组。请考虑下面的示例目录：

drwxrws--- 2 tux archive 48 Nov 19 17:12  backup

您可以看见 s，它表示为组许可设置了 setgid 位。目录的拥有者和 archive 组的成员可以访问此目录。不是该组成员的用户会“映射”到各自的组中。所有写入文件的有效组 ID 为 archive。例如，使用组 ID archive 运行的备份程序即便没有 root 特权也能访问此目录。

另外还可以设置粘滞位。属于可执行程序的粘滞位和属于目录的粘滞位在作用上有所不同。如果属于某个程序，以这种方式标记的文件将被挂载 RAM，而不必在每次使用时从硬盘读取。由于目前硬盘的速度已经足够快，此属性已经很少使用。如果为目录指派了此位，则可以防止用户删除彼此的文件。典型示例如 /tmp 目录和 /var/tmp 目录：

drwxrwxrwt 2 root root 1160 2002-11-19 17:15 /tmp

图 20.1 “最小 ACL：与权限位相比的 ACL 项”和图 20.2 “扩展 ACL：与权限位相比的 ACL 项”说明了最小 ACL 和扩展 ACL 这两种情况。这些图分为三块 — 左边一块显示 ACL 项的类型规范，中间一块显示一个示例 ACL，右边一块显示对应于传统权限概念的各个权限位（例如，如 ls -l 所显示）。在这两种情况下，拥有者权限均被映射到 ACL 拥有者项。其他类别权限也被映射到各自的 ACL 项。但是，组类别权限的映射在这两种情况中是不同的。

图 20.1︰ 最小 ACL：与权限位相比的 ACL 项 #

 

对于最小 ACL（没有屏蔽），组类别许可权限被映射到 ACL 的所属组项。图 20.1 “最小 ACL：与权限位相比的 ACL 项”中显示了这一点。对于扩展 ACL（具有屏蔽），组类别许可权限被映射到屏蔽项。图 20.2 “扩展 ACL：与权限位相比的 ACL 项”中显示了这一点。

图 20.2︰ 扩展 ACL：与权限位相比的 ACL 项 #

 

不管应用程序是否具有 ACL 支持，这种映射方式都可以确保应用程序的流畅交互。通过权限位方式分配的访问权限表示通过 ACL 所进行的所有其他“微调”的上限。对权限位的更改将由 ACL 反映出来，反之亦然。

命令行上显示 getfacl 和 setfacl 的情况下，您可以访问 ACL。以下示例演示了这些命令的用法。

在创建目录之前，使用 umask 命令来定义每次创建文件对象时应屏蔽哪些访问权限。命令 umask 027 会设置以下默认权限：为拥有者授予全部权限 (0)、拒绝组的写入访问权限 (2)，以及不为其他用户提供权限 (7)。umask 实际上会屏蔽相应的许可权限位或将它们关闭。有关详细信息，请参见第 12.4 节 “默认的 umask”或 umask 手册页。

mkdir mydir 创建具有由 umask 设置的默认权限的 mydir 目录。使用 ls -dl mydir 来检查是否已正确分配所有权限。该示例的输入为：

drwxr-x--- ... tux project3 ... mydir

使用 getfacl mydir，检查 ACL 的初始状态。这样会得出如下信息：

# file: mydir
# owner: tux
# group: project3
user::rwx
group::r-x
other::---

输出的前三行显示了目录的名称、拥有者和所属组。随后三行包含三个 ACL 项，即拥有者、所属组和其他。事实上，对于最小 ACL，getfacl 命令不会生成您使用 ls 所不能获得的任何信息。

使用以下命令修改 ACL，为附加用户 geeko 和附加组 mascots 指派读、写和执行权限：

# setfacl -m user:geeko:rwx,group:mascots:rwx mydir

选项 -m 提示 setfacl 修改现有的 ACL。以下参数指示要修改的 ACL 项（各项之间用逗号隔开）。最后部分指定了应该对其应用这些修改的目录的名称。使用 getfacl 命令来查看所生成的 ACL。

# file: mydir
# owner: tux
# group: project3
user::rwx
user:geeko:rwx
group::r-x
group:mascots:rwx
mask::rwx
other::---

除了为用户 geeko 和组 mascots 创建的项外，还生成了一个掩码项。此掩码项是自动设置的，因此所有权限都是有效的。setfacl 自动使现有掩码项适应修改的设置，除非您使用 -n 停用此功能。该掩码项定义组类别中所有项的最大有效访问权限。其中包括已命名用户、已命名组和所属组。由 ls -dl mydir 显示的组类别权限位现在与 mask 项相对应。

drwxrwx---+ ... tux project3 ... mydir

输出的第一栏包含一个附加的 +，表明此项存在一个扩展 ACL。

根据 ls 命令的输出，掩码项的权限包含写访问权限。传统情况下，这样的权限位意味着所属组（这里是 project3）也具有对 mydir 目录的写访问权限。

但是，所属组的有效访问权限对应于为所属组和屏蔽定义的许可权限的重叠部分 — 在我们的示例中是 r-x（参见表 20.2 “屏蔽访问权限”）。对本例中的所属组的有效权限而言，即使是在添加了 ACL 项之后，也未发生任何改变。

用 setfacl 或 chmod 编辑掩码项。例如，使用 chmod g-w mydir。ls -dl mydir 即会显示：

drwxr-x---+ ... tux project3 ... mydir

getfacl mydir 提供以下输出：

# file: mydir
# owner: tux
# group: project3
user::rwx
user:geeko:rwx          # effective: r-x
group::r-x
group:mascots:rwx       # effective: r-x
mask::r-x
other::---

执行 chmod 将写入权限从组类别位中去除后，通过 ls 的输出就完全能够看出掩码位一定已相应更改：写入权限再次仅限 mydir 的拥有者拥有。getfacl 的输出证实了这一点。这个输出包含了对有效权限位与原始权限不对应的所有项的注释，因为已根据掩码项对它们进行了过滤。可以随时用 chmod g+w mydir 来恢复原始权限。

目录可以具有默认 ACL，这是一种特殊的 ACL，它定义的是此目录下的对象在创建时继承的访问权限。默认 ACL 影响子目录和文件。

在为任何进程或应用程序授予访问受 ACL 保护的文件系统对象的权限之前，将应用检查算法。作为基本规则，按照以下序列检查 ACL 项：拥有者、命名用户、所属组或命名组以及其他组。访问将根据最适合进程的项进行处理。权限不能累加。

如果某个进程属于多个组并且潜在适合多个组项，情况会更为复杂。这时将从具有所需权限的合适项中随机选择一个。它与是哪些项触发了最终结果“已授权访问”无关。同样，如果没有任何适当组项包含所需的权限，则随机选择的项将触发最终结果“访问被拒绝”。