Задачи

После завершения этого раздела вы сможете:

Изменение ACL

С помощью команды setfacl можно добавлять, изменять и удалять стандартные ACL для файлов и каталогов.

ACL используют обычное представление разрешений: «r» — разрешение на чтение, «w» — разрешение на запись и «x» — разрешение на выполнение. «-» (дефис) означает, что соответствующее разрешение отсутствует. При настройке ACL (рекурсивно) может использоваться «X» в верхнем регистре для указания на то, что разрешение на выполнение может быть задано только для каталогов, а не для обычных файлов, кроме тех случаев, когда для этих файлов уже указано соответствующее разрешение на выполнение. Таким образом, setfacl ведет себя аналогично команде chmod.

Добавление и изменение ACL

Запись ACL можно добавить из командной строки с помощью опции -m или передать в файле с помощью опции -M (используйте «-» (дефис) вместо имени файла для stdin). Существует два варианта изменения: добавление новых записей ACL или замена определенных записей ACL для файла или каталога. Все остальные существующие записи ACL для этого файла или каталога не будут затронуты.

Если при создании ACL для файла операция добавления не содержит параметров для разрешений владельца файла, группы-владельца или остальных пользователей, они будут заданы на основе текущих стандартных разрешений (они также известны как базовые записи ACL, удалить их невозможно), а также будет рассчитано и добавлено новое значение маски.

Чтобы добавить или изменить запись ACL для пользователя или именованного пользователя, выполните следующую команду:

[user@host ~]$ setfacl -m u:name:rX file

Если значение name оставлено пустым, оно применяется к владельцу файла, в противном случае name может быть именем пользователя или значением идентификатора UID. В этом примере будут выданы разрешения только на чтение и, если уже заданы, на выполнение (однако, если файл является каталогом, он получит разрешение на выполнение, чтобы был возможен поиск в каталоге).

Разрешения ACL владельца файла и стандартные разрешения владельца файла эквивалентны, следовательно, применение chmod к разрешениям владельца файла равнозначно применению setfacl к разрешениям владельца файла. Команда chmod не применяется к именованным пользователям.

Чтобы добавить или изменить запись ACL для группы или именованной группы, выполните следующую команду:

[user@host ~]$ setfacl -m g:name:rw file

Принцип тот же, что и при добавлении или изменении записи ACL пользователя. Если значение name оставлено пустым, оно применяется к группе-владельцу. В противном случае укажите имя группы или значение GID для именованной группы. В данном примере разрешения выдаются на чтение и запись.

chmod не влияет на разрешения группы владельцев для файлов с ACL, но изменяет маску ACL.

Чтобы добавить или изменить запись ACL для остальных пользователей, выполните следующую команду:

[user@host ~]$ setfacl -m o::- file

Для остальных можно указывать только разрешения. Типичные разрешения для остальных: полное отсутствие разрешений (обозначается дефисом (-)) и «только чтение» (обозначается, как обычно, с помощью r). Вы можете установить любые стандартные разрешения.

Разрешения для остальных в ACL и стандартные разрешения остальных эквивалентны, следовательно, применение команды chmod к разрешениям остальных равнозначно применению setfacl к разрешениям остальных.

Вы можете добавить несколько записей одной командой. Разделяйте список запятыми.

[user@host ~]$ setfacl -m u::rwx,g:consultants:rX,o::- file

Владельцу файла будут даны разрешения на чтение, запись и выполнение, именованной группе consultants — на чтение и условное выполнение, а остальным пользователям не будут даны разрешения. Группа-владелец сохранит текущие файловые разрешения или ACL, а другие именованные записи остаются без изменений.

Использование getfacl в качестве входных данных

Вы можете использовать вывод команды getfacl в качестве входных данных для setfacl.

[user@host ~]$ getfacl file-A | setfacl --set-file=- file-B

Опция --set-file принимает входные данные из файла или из stdin. Дефис (-) задает использование stdin. В этом случае file-B будет иметь такой же ACL, что и file-A.

Явная настройка маски ACL

Вы можете явно задать маску ACL для файла или каталога, чтобы ограничить максимальные эффективные разрешения для именованных пользователей, группы-владельца и именованных групп. Это ограничивает все существующие разрешения, выходящие за рамки маски, но не влияет на более строгие разрешения.

[user@host ~]$ setfacl -m m::r file

Эта команда добавляет значение маски, которое ограничивает всех именованных пользователей, группу-владельца и все именованные группы разрешением «только чтение», независимо от их текущих разрешений. Параметры маски не влияют на разрешения владельца файла и остальных пользователей.

Команда getfacl отображает комментарий effective напротив записей, ограниченных значением маски.

Рекурсивное изменение ACL

Задавая ACL для каталога, используйте опцию -R для рекурсивного применения ACL. Бит «X» (заглавная Х) часто применяется с рекурсией, чтобы файлы с набором разрешений на выполнение сохраняли эту настройку, а каталоги получали разрешение на выполнение, чтобы можно было выполнять поиск в каталоге. Рекомендуется также использовать заглавную Х при нерекурсивном задании ACL, так как это не позволит администратору случайно добавить разрешение на выполнение для обычного файла.

[user@host ~]$ setfacl -R -m u:name:rX directory

Пользователь name будет добавлен в ACL каталога directory и всех существующих файлов и подкаталогов с разрешениями на чтение и условное выполнение.

Удаление ACL

Команда удаления записей ACL имеет тот же базовый формат, что и команда изменения ACL, за исключением того, что «:perms» не задаются.

[user@host ~]$ setfacl -x u:name,g:name file

Эта команда удаляет только именованного пользователя и именованную группу из ACL файла или каталога. Все остальные записи ACL не изменятся.

Опции удаления (-x) и изменения (-m) можно использовать в команде setfacl одновременно.

Маска может быть удалена, только если нет других записей в ACL (за исключением базовых записей ACL, которые не могут быть удалены), поэтому она должна удаляться последней. У файла больше не будет ACL, и команда ls -l не будет отображать символ плюса (+) рядом со строкой разрешений. Чтобы удалить все записи ACL для файла или каталога (включая записи ACL по умолчанию для каталогов), используйте следующую команду:

[user@host ~]$ setfacl -b file

Настройка записей ACL по умолчанию

Чтобы файлы и каталоги, созданные в определенном каталоге, наследовали ACL этого каталога, используйте ACL по умолчанию для каталога. Можно задать ACL по умолчанию и любые стандартные записи ACL, в том числе маску по умолчанию.

Каталогу необходимы стандартные записи ACL для контроля доступа, поскольку записи ACL по умолчанию не применяют контроль доступа для каталога, а всего лишь предоставляют поддержку наследования разрешений ACL. Пример:

[user@host ~]$ setfacl -m d:u:name:rx directory

Эта команда добавляет запись по умолчанию для именованного пользователя (d:u:name) с разрешениями на чтение и выполнение.

Команда setfacl, добавляющая запись ACL по умолчанию для каждого типа ACL, абсолютно идентична команде для стандартных записей ACL, но перед ней добавляется d:. Еще один вариант — использовать опцию -d.

Удаление записей ACL по умолчанию

Удаление записи ACL по умолчанию не отличается от удаления стандартных записей ACL ― добавьте конструкцию d: или используйте опцию -d.

[user@host ~]$ setfacl -x d:u:name directory

Будет удалена запись ACL по умолчанию, добавленная в предыдущем примере.

Чтобы удалить все записи ACL по умолчанию для каталога, используйте команду setfacl -k directory.