Linux 存取控制清單

目錄

15.1. 傳統檔案許可權
15.2. ACL 的優點
15.3. 定義
15.4. 處理 ACL
15.5. 應用程式的 ACL 支援
15.6. 如需更多資訊

摘要

POSIX ACL (存取控制清單) 可以看做是檔案系統物件之傳統許可權概念的延伸。使用 ACL,定義許可權比傳統許可權概念更有彈性。

POSIX ACL 這個詞彙表示這是真正的 POSIX (可攜式作業系統介面) 標準。草稿標準 POSIX 1003.1e 和 POSIX 1003.2c 已各自因為某些原因而遭到撤銷。然而,UNIX 家族中許多系統的 ACL 都是以這些草稿為基礎,而且本章實作的檔案系統 ACL,也是依循這兩個標準。要查閱它們,請到 http://wt.xpilot.org/publications/posix.1e/

傳統檔案許可權

有關傳統 Linux 檔案許可權的基本說明,請參閱 第 18.2 節「使用者和存取許可權」。還有 setuid、setgid 以及黏貼位元的更多進階功能。

setuid 位元

在某些狀況下,存取許可權的限制可能太多。因此,Linux 擁有其他的設定,可讓目前使用者與群組的身份針對特定的動作而進行暫時的變更。例如,passwd 程式通常需要根許可權來存取 /etc/passwd。此檔案包含一些重要的資訊,例如,使用者的主目錄,以及使用者與群組的 ID。因此,一般使用者將無法變更 passwd,因為授權讓所有使用者直接存取此檔案是非常危險的。此問題的可行解決方案是 setuid 機制。setuid (設定使用者 ID) 是一種特殊檔案屬性,可以指示系統根據特定使用者 ID 的標示來執行程式。請考慮使用 passwd 指令:


-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

您會看到 s,表示已針對使用者許可權設定 setuid 位元。藉由 setuid 位元,所有啟動 passwd 指令的使用者,皆能以 root 身份來執行。

setgid 位元

setuid 位元適用於使用者。不過,群組也有對等的內容:setgid。設定此位元的程式會以儲存時指定的群組 ID 來執行,無論啟動該程式的使用者為何。因此,在附帶 setgid 位元的目錄中,所有新建的檔案和子目錄會指定至目錄所屬的群組。請思考以下範例目錄:

drwxrws--- 2 tux archive 48 Nov 19 17:12  backup

您會看到 s,表示已針對群組許可權設定 setgid 位元。目錄的擁有者與 archive 群組的成員可存取此目錄。非此群組成員的使用者會「對應」到個別群組。所有已寫入檔案的有效群組 ID 將會是 archive。例如,以 archive 群組 ID 執行的備份程式,即使沒有 root 權限,仍然能夠存取此目錄。

黏貼位元

另外還有黏貼位元。視它屬於可執行程式或目錄而定,結果是有差別的。如果屬於程式,用此方法標示的檔案會載入 RAM,每次使用時就不需從硬碟取得該程式。這個屬性很少用,因為現在的硬碟速度都夠快了。如果此位元指定至目錄,就會禁止使用者刪除其他人的檔案。典型範例包括 /tmp/var/tmp 目錄:

drwxrwxrwt 2 root root 1160 2002-11-19 17:15 /tmp