Глава 7. Управление доступом к файлам

Задачи

После завершения этого раздела вы сможете отобразить разрешения файловой системы для файлов и каталогов и объяснить влияние этих разрешений на доступ пользователей и групп.

Разрешения файловой системы Linux

Разрешения файлов позволяют контролировать доступ к файлам. Система файловых разрешений в Linux простая, но гибкая. Ее несложно освоить и применять, и при этом она позволяет легко справиться с большинством обычных случаев назначения разрешений.

Есть три категории пользователей файлов, к которым применяются разрешения. Файл принадлежит пользователю, обычно тому, который создал этот файл. Файл также принадлежит одной группе, обычно основной группе пользователя, который создал файл, но эта принадлежность может быть изменена. Для пользователя-владельца, группы-владельца и всех остальных пользователей в системе, не являющихся пользователем-владельцем или участником группы-владельца, могут быть заданы разные разрешения.

Приоритет отдается наиболее конкретным разрешениям. Разрешения для пользователя переопределяют разрешения для группы, которые в свою очередь переопределяют разрешения для остальных пользователей.

На Рисунок 7.1: Пример участия в группах для совместной работы joshua — участник групп joshua и web, а allison — участник групп allison, wheel и web. Если требуется обеспечить совместную работу joshua и allison, необходимо связать файлы с группой web, а разрешения группы должны обеспечивать необходимый доступ.

Рисунок 7.1: Пример участия в группах для совместной работы

Доступны три категории разрешений: чтение, запись и выполнение. В следующей таблице объясняется, как эти разрешения влияют на доступ к файлам и каталогам.

У пользователей обычно есть разрешения на чтение и выполнение для каталогов, доступных только для чтения, и они могут отображать такие каталоги и просматривать всю информацию об их содержимом. Если у пользователя есть только разрешение на чтение для каталога, он сможет отобразить список имен файлов в этом каталоге, но другая информация, включая разрешения и метки времени, будет недоступна. Если у пользователя есть только разрешение на выполнение для каталога, он не может получить список файлов в каталоге. Если пользователь знает имя файла, на чтение которого у него есть разрешение, то может получить доступ к содержимому этого файла вне каталога, явно указав относительное имя файла.

Файл может быть удален любым пользователем, являющимся владельцем каталога, в котором находится файл, или имеющим соответствующее разрешение на запись, независимо от прав доступа к самому файлу. Это поведение можно переопределить с помощью специального разрешения ― sticky bit, которое будет рассматриваться позже в этой главе.

Просмотр разрешений и владельцев для файла и каталога

Опция -l команды ls отображает подробные сведения о разрешениях и владельцах файла.

[user@host~]$ ls -l test
-rw-rw-r--. 1 student student 0 Feb  8 17:36 test

Используйте опцию -d, чтобы отобразить подробную информацию о каталоге, но не о его содержимом.

[user@host ~]$ ls -ld /home
drwxr-xr-x. 5 root root 4096 Jan 31 22:00 /home

Первый символ длинного списка — это тип файла, который интерпретируется следующим образом:

Следующие девять символов — это файловые разрешения. Они представлены тремя наборами по три символа: разрешения, применяемые к пользователю, которому принадлежит файл, к группе, которой принадлежит файл, и ко всем остальным пользователям. Если указан набор rwx, предоставляются все три разрешения: чтение, запись и выполнение. Если буква заменена на -, значит, это разрешение не предоставляется.

Первое имя после количества ссылок указывает пользователя, которому принадлежит файл, а второе — группу, которой принадлежит файл.

Таким образом, в приведенном выше примере разрешения для пользователя student определены первым набором из трех символов. У пользователя student есть разрешения на чтение и запись для файла test, но не на выполнение.

Разрешения для группы student определены вторым набором из трех символов. У этой группы также есть разрешения на чтение и запись для файла test, но не на выполнение.

Разрешения остальных пользователей определяются третьим набором из трех символов. У них есть только разрешение на чтение файла test.

Применяется наиболее конкретный набор разрешений. Если разрешения пользователя student отличаются от разрешений группы student и пользователь student является участником этой группы, будут применяться разрешения пользователя.

Примеры влияния разрешений

Следующие примеры показывают, как действуют файловые разрешения. Для этих примеров у нас есть четыре пользователя, принадлежащие к определенным группам.

Эти пользователи будут работать с файлами в каталоге dir. Это длинный список файлов в каталоге:

[database1@host dir]$ ls -la
total 24
drwxrwxr-x.  2 database1 consultant1   4096 Apr  4 10:23 .
drwxr-xr-x. 10 root      root          4096 Apr  1 17:34 ..
-rw-rw-r--.  1 operator1 operator1     1024 Apr  4 11:02 lfile1
-rw-r--rw-.  1 operator1 consultant1   3144 Apr  4 11:02 lfile2
-rw-rw-r--.  1 database1 consultant1  10234 Apr  4 10:14 rfile1
-rw-r-----.  1 database1 consultant1   2048 Apr  4 10:18 rfile2

Опция -a отображает разрешения для скрытых файлов, в том числе специальных файлов, используемых для представления данного каталога и его родительского каталога. В этом примере . отражает разрешения каталога dir, а .. — разрешения его родительского каталога.

Рассмотрим разрешения для файла rfile1. У пользователя, которому принадлежит файл (database1), есть разрешения на чтение и запись, но не на выполнение. У группы, которой принадлежит файл (consultant1), есть разрешения на чтение и запись, но не на выполнение. У всех остальных пользователей есть разрешения на чтение, но не запись и выполнение.

В следующей таблице рассматриваются некоторые результаты таких разрешений для пользователей.