setfacl

設(shè)置文件訪問控制列表

補(bǔ)充說明

setfacl命令 是用來在命令行里設(shè)置ACL（訪問控制列表）。在命令行里，一系列的命令跟隨以一系列的文件名。

選項(xiàng)

-b,--remove-all：刪除所有擴(kuò)展的acl規(guī)則，基本的acl規(guī)則(所有者，群組，其他）將被保留。
-k,--remove-default：刪除缺省的acl規(guī)則。如果沒有缺省規(guī)則，將不提示。
-n，--no-mask：不要重新計(jì)算有效權(quán)限。setfacl默認(rèn)會重新計(jì)算ACL mask，除非mask被明確的制定。
--mask：重新計(jì)算有效權(quán)限，即使ACL mask被明確指定。
-d，--default：設(shè)定默認(rèn)的acl規(guī)則。
--restore=file：從文件恢復(fù)備份的acl規(guī)則（這些文件可由getfacl -R產(chǎn)生）。通過這種機(jī)制可以恢復(fù)整個目錄樹的acl規(guī)則。此參數(shù)不能和除--test以外的任何參數(shù)一同執(zhí)行。
--test：測試模式，不會改變?nèi)魏挝募腶cl規(guī)則，操作后的acl規(guī)格將被列出。
-R，--recursive：遞歸的對所有文件及目錄進(jìn)行操作。
-L，--logical：跟蹤符號鏈接，默認(rèn)情況下只跟蹤符號鏈接文件，跳過符號鏈接目錄。
-P，--physical：跳過所有符號鏈接，包括符號鏈接文件。
--version：輸出setfacl的版本號并退出。
--help：輸出幫助信息。
--：標(biāo)識命令行參數(shù)結(jié)束，其后的所有參數(shù)都將被認(rèn)為是文件名
-：如果文件名是-，則setfacl將從標(biāo)準(zhǔn)輸入讀取文件名。

選項(xiàng)-m和-x后邊跟以acl規(guī)則。多條acl規(guī)則以逗號(,)隔開。選項(xiàng)-M和-X用來從文件或標(biāo)準(zhǔn)輸入讀取acl規(guī)則。
選項(xiàng)--set和--set-file用來設(shè)置文件或目錄的acl規(guī)則，先前的設(shè)定將被覆蓋。
選項(xiàng)-m(--modify)和-M(--modify-file)選項(xiàng)修改文件或目錄的acl規(guī)則。
選項(xiàng)-x(--remove)和-X(--remove-file)選項(xiàng)刪除acl規(guī)則。

當(dāng)使用-M，-X選項(xiàng)從文件中讀取規(guī)則時，setfacl接受getfacl命令輸出的格式。每行至少一條規(guī)則，以#開始的行將被視為注釋。

當(dāng)在不支持ACLs的文件系統(tǒng)上使用setfacl命令時，setfacl將修改文件權(quán)限位。如果acl規(guī)則并不完全匹配文件權(quán)限位，setfacl將會修改文件權(quán)限位使其盡可能的反應(yīng)acl規(guī)則，并會向standard error發(fā)送錯誤消息，以大于0的狀態(tài)返回。

權(quán)限

文件的所有者以及有CAP_FOWNER的用戶進(jìn)程可以設(shè)置一個文件的acl。（在目前的linux系統(tǒng)上，root用戶是唯一有CAP_FOWNER能力的用戶）

ACL規(guī)則

setfacl命令可以識別以下的規(guī)則格式：

[d[efault]:] [u[ser]:]uid [:perms]  指定用戶的權(quán)限，文件所有者的權(quán)限（如果uid沒有指定）。
[d[efault]:] g[roup]:gid [:perms]   指定群組的權(quán)限，文件所有群組的權(quán)限（如果gid未指定）
[d[efault]:] m[ask][:] [:perms]     有效權(quán)限掩碼
[d[efault]:] o[ther] [:perms]       其他的權(quán)限

恰當(dāng)?shù)腶cl規(guī)則被用在修改和設(shè)定的操作中，對于uid和gid，可以指定一個數(shù)字，也可指定一個名字。perms域是一個代表各種權(quán)限的字母的組合：讀-r寫-w執(zhí)行-x，執(zhí)行只適合目錄和一些可執(zhí)行的文件。pers域也可設(shè)置為八進(jìn)制格式。

自動創(chuàng)建的規(guī)則

最初的，文件目錄僅包含3個基本的acl規(guī)則。為了使規(guī)則能正常執(zhí)行，需要滿足以下規(guī)則。

3個基本規(guī)則不能被刪除。
任何一條包含指定的用戶名或群組名的規(guī)則必須包含有效的權(quán)限組合。
任何一條包含缺省規(guī)則的規(guī)則在使用時，缺省規(guī)則必須存在。

ACL的名詞定義

先來看看在ACL里面每一個名詞的定義，這些名詞我大多從man page上摘下來雖然有些枯燥,但是對于理解下面的內(nèi)容還是很有幫助的。

ACL是由一系列的Access Entry所組成的，每一條Access Entry定義了特定的類別可以對文件擁有的操作權(quán)限。Access Entry有三個組成部分：Entry tag type, qualifier (optional), permission。

我們先來看一下最重要的Entry tag type，它有以下幾個類型：

ACL_USER_OBJ：相當(dāng)于Linux里file_owner的permission
ACL_USER：定義了額外的用戶可以對此文件擁有的permission
ACL_GROUP_OBJ：相當(dāng)于Linux里group的permission
ACL_GROUP：定義了額外的組可以對此文件擁有的permission
ACL_MASK：定義了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大權(quán)限 (這個我下面還會專門討論)
ACL_OTHER：相當(dāng)于Linux里other的permission

讓我們來據(jù)個例子說明一下，下面我們就用getfacl命令來查看一個定義好了的ACL文件：

[root@localhost ~]# getfacl ./test.txt
# file: test.txt
# owner: root
# group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw- other::r--

前面三個以#開頭的定義了文件名，file owner和group。這些信息沒有太大的作用，接下來我們可以用--omit-header來省略掉。

user::rw-       定義了ACL_USER_OBJ, 說明file owner擁有read and write permission
user:john:rw-   定義了ACL_USER,這樣用戶john就擁有了對文件的讀寫權(quán)限,實(shí)現(xiàn)了我們一開始要達(dá)到的目的
group::rw-      定義了ACL_GROUP_OBJ,說明文件的group擁有read and write permission
group:dev:r--   定義了ACL_GROUP,使得dev組擁有了對文件的read permission
mask::rw-       定義了ACL_MASK的權(quán)限為read and write
other::r--      定義了ACL_OTHER的權(quán)限為read

從這里我們就可以看出ACL提供了我們可以定義特定用戶和用戶組的功能，那么接下來我們就來看一下如何設(shè)置一個文件的ACL：

如何設(shè)置ACL文件

首先我們還是要講一下設(shè)置ACL文件的格式，從上面的例子中我們可以看到每一個Access Entry都是由三個被：號分隔開的字段所組成，第一個就是Entry tag type。

user   對應(yīng)了ACL_USER_OBJ和ACL_USER
group  對應(yīng)了ACL_GROUP_OBJ和ACL_GROUP
mask   對應(yīng)了ACL_MASK
other  對應(yīng)了ACL_OTHER

第二個字段稱之為qualifier，也就是上面例子中的john和dev組，它定義了特定用戶和擁護(hù)組對于文件的權(quán)限。這里我們也可以發(fā)現(xiàn)只有user和group才有qualifier，其他的都為空。第三個字段就是我們熟悉的permission了。它和Linux的permission一樣定義，這里就不多講了。

下面我們就來看一下怎么設(shè)置test.txt這個文件的ACL讓它來達(dá)到我們上面的要求。

一開始文件沒有ACL的額外屬性：

[root@localhost ~]# ls -l
-rw-rw-r-- 1 root admin 0 Jul 3 22:06 test.txt

[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw- group::rw- other::r--

我們先讓用戶john擁有對test.txt文件的讀寫權(quán)限：

[root@localhost ~]# setfacl -m user:john:rw- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
mask::rw-
other::r--

這時我們就可以看到j(luò)ohn用戶在ACL里面已經(jīng)擁有了對文件的讀寫權(quán)。這個時候如果我們查看一下linux的permission我們還會發(fā)現(xiàn)一個不一樣的地方。

[root@localhost ~]# ls -l ./test.txt
-rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./test.txt

在文件permission的最后多了一個+號，當(dāng)任何一個文件擁有了ACL_USER或者ACL_GROUP的值以后我們就可以稱它為ACL文件，這個+號就是用來提示我們的。我們還可以發(fā)現(xiàn)當(dāng)一個文件擁有了ACL_USER或者ACL_GROUP的值時ACL_MASK同時也會被定義。

接下來我們來設(shè)置dev組擁有read permission：

[root@localhost ~]# setfacl -m group:dev:r-- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--

到這里就完成了我們上面講到的要求，是不是很簡單呢。

ACL_MASK和Effective permission

這里需要重點(diǎn)講一下ACL_MASK，因?yàn)檫@是掌握ACL的另一個關(guān)鍵，在Linux file permission里面大家都知道比如對于rw-rw-r--來說, 當(dāng)中的那個rw-是指文件組的permission. 但是在ACL里面這種情況只是在ACL_MASK不存在的情況下成立。如果文件有ACL_MASK值，那么當(dāng)中那個rw-代表的就是mask值而不再是group permission了。

讓我們來看下面這個例子：

[root@localhost ~]# ls -l
-rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh

這里說明test.sh文件只有file owner: root擁有read, write, execute/search permission。admin組只有read and write permission，現(xiàn)在我們想讓用戶john也對test.sh具有和root一樣的permission。

[root@localhost ~]# setfacl -m user:john:rwx ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx user:john:rwx
group::rw-
mask::rwx
other::r--

這里我們看到j(luò)ohn已經(jīng)擁有了rwx的permission，mask值也被設(shè)定為rwx，那是因?yàn)樗?guī)定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最大值，現(xiàn)在我們再來看test.sh的Linux permission，它已經(jīng)變成了：

[root@localhost ~]# ls -l
-rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh

那么如果現(xiàn)在admin組的用戶想要執(zhí)行test.sh的程序會發(fā)生什么情況呢？它會被permission deny。原因在于實(shí)際上admin組的用戶只有read and write permission，這里當(dāng)中顯示的rwx是ACL_MASK的值而不是group的permission。

所以從這里我們就可以知道，如果一個文件后面有+標(biāo)記，我們都需要用getfacl來確認(rèn)它的permission，以免發(fā)生混淆。

下面我們再來繼續(xù)看一個例子，假如現(xiàn)在我們設(shè)置test.sh的mask為read only，那么admin組的用戶還會有write permission嗎？

[root@localhost ~]# setfacl -m mask::r-- ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx
user:john:rwx   #effective:r--
group::rw-      #effective:r--
mask::r--
other::r--

這時候我們可以看到ACL_USER和ACL_GROUP_OBJ旁邊多了個#effective:r--，這是什么意思呢？讓我們再來回顧一下ACL_MASK的定義。它規(guī)定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最大權(quán)限。那么在我們這個例子中他們的最大權(quán)限也就是read only。雖然我們這里給ACL_USER和ACL_GROUP_OBJ設(shè)置了其他權(quán)限，但是他們真正有效果的只有read權(quán)限。

這時我們再來查看test.sh的Linux file permission時它的group permission也會顯示其mask的值(i.e. r--)

[root@localhost ~]# ls -l
-rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh

Default ACL

上面我們所有講的都是Access ACL，也就是對文件而言。下面我簡單講一下Default ACL。Default ACL是指對于一個目錄進(jìn)行Default ACL設(shè)置，并且在此目錄下建立的文件都將繼承此目錄的ACL。

同樣我們來做一個試驗(yàn)說明，比如現(xiàn)在root用戶建立了一個dir目錄：

[root@localhost ~]# mkdir dir

他希望所有在此目錄下建立的文件都可以被john用戶所訪問，那么我們就應(yīng)該對dir目錄設(shè)置Default ACL。

[root@localhost ~]# setfacl -d -m user:john:rw ./dir
[root@localhost ~]# getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x

這里我們可以看到ACL定義了default選項(xiàng)，john用戶擁有了default的read, write, excute/search permission。所有沒有定義的default都將從file permission里copy過來，現(xiàn)在root用戶在dir下建立一個test.txt文件。

[root@localhost ~]# touch ./dir/test.txt
[root@localhost ~]# ls -l ./dir/test.txt
-rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./dir/test.txt

[root@localhost ~]# getfacl --omit-header ./dir/test.txt
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r--

這里我們看到在dir下建立的文件john用戶自動就有了read and write permission，

ACL相關(guān)命令

前面的例子中我們都注意到了getfacl命令是用來讀取文件的ACL，setfacl是用來設(shè)定文件的Acess ACL。這里還有一個chacl是用來改變文件和目錄的Access ACL and Default ACL，它的具體參數(shù)大家可以去看man page。我只想提及一下chacl -B。它可以徹底刪除文件或者目錄的ACL屬性(包括Default ACL)，比如你即使用了setfacl -x刪除了所有文件的ACL屬性，那個+號還是會出現(xiàn)在文件的末尾，所以正確的刪除方法應(yīng)該是用chacl -B用cp來復(fù)制文件的時候我們現(xiàn)在可以加上-p選項(xiàng)。這樣在拷貝文件的時候也將拷貝文件的ACL屬性，對于不能拷貝的ACL屬性將給出警告。

mv命令將會默認(rèn)地移動文件的ACL屬性，同樣如果操作不允許的情況下會給出警告。

需要注意的幾點(diǎn)

如果你的文件系統(tǒng)不支持ACL的話，你也許需要重新mount你的file system：

mount -o remount, acl [mount point]

如果用chmod命令改變Linux file permission的時候相應(yīng)的ACL值也會改變，反之改變ACL的值，相應(yīng)的file permission也會改變。