前言
在 GNU/Linux 系统中，文件权限是确保系统安全和数据保护的核心机制。它们不仅控制用户对文件和目录的访问权限，还为多用户环境中的协作和安全提供了基础保障。基本的文件权限模型通过读（r）、写（w）、执行（x）三种权限，结合用户（User）、组（Group）和其他（Others）三类角色，提供了简洁而强大的访问控制。然而，在复杂场景下，例如需要为特定用户或组分配独特权限，或防止关键文件被意外删除，传统权限模型可能显得力不从心。
为此，GNU/Linux 提供了更高级的权限管理工具：访问控制列表（Access Control List, ACL）和文件保护属性。ACL 允许管理员为特定用户或组设置细粒度的权限，极大地增强了权限管理的灵活性；而文件保护属性则通过限制文件的修改或删除操作，为关键数据提供了额外的安全保障。本文将全面探讨这些高级权限管理机制。
本文内容包括：
- ACL 的核心概念：理解 ACL 的作用、查看和设置方法。
- 默认 ACL 的应用：如何为目录中的新文件自动应用权限。
- 文件保护属性：使用不可变属性等机制保护关键文件。
- 高级权限管理实践：结合 ACL 和特殊属性构建复杂的安全策略。
- 安全注意事项：确保权限配置的安全性和可靠性。
访问控制列表（ACL）
什么是 ACL？
访问控制列表（Access Control List, ACL）是 GNU/Linux 系统中一种高级权限管理机制，允许管理员为特定用户或组分配自定义权限，超越传统权限模型的限制。传统权限模型将用户分为三类（所有者、所属组、其他用户），每类只能设置读、写、执行权限。而 ACL 允许为任意用户或组设置独立的权限组合，极大地提高了权限管理的灵活性。
例如，在一个多用户项目中，您可能需要：
- 允许项目经理对文件具有完全控制权（读、写、执行）。
- 允许开发团队读取和执行文件，但禁止写入。
- 允许特定用户（如外部顾问）仅具有只读权限。
使用传统权限模型实现这种需求可能需要创建多个组或调整文件所有者，而 ACL 可以通过简单的命令直接实现这些细粒度控制。
启用 ACL 支持
在使用 ACL 之前，需要确保文件系统支持 ACL。常见的文件系统（如 ext4、XFS、Btrfs）默认支持 ACL，但可能需要挂载时启用。例如，检查文件系统挂载选项：
mount | grep acl如果输出中包含 acl 选项，则文件系统已启用 ACL 支持。如果没有，可以通过修改 /etc/fstab 添加 acl 选项并重新挂载：
/dev/sda1 / ext4 defaults,acl 0 1
sudo mount -o remount /此外，确保安装了 ACL 工具：
sudo apt install acl # Debian/Ubuntu
sudo dnf install acl # Fedora/RHEL查看 ACL
要查看文件的 ACL，使用 getfacl 命令。该命令会列出文件的标准权限以及任何额外的 ACL 条目。例如，检查文件 file_a 的 ACL：
getfacl file_a输出示例：
# file: file_a
# owner: user
# group: group
user::rw-
group::r--
other::r--这表明 file_a 只有标准权限：所有者具有读写权限（rw-），组成员和其他用户具有读权限（r--）。
如果文件或目录具有额外的 ACL 条目，ls -l 命令会在权限字符串后显示一个 + 号。例如：
ls -l package输出：
drwxr-xr-x+ 2 user group 4096 Oct 10 12:15 package这里的 + 表示存在 ACL 条目。运行以下命令查看详细信息：
getfacl package输出示例：
# file: package
# owner: user
# group: group
user::rwx
group::r-x
other::r-x
user:libvirt-qemu:--x在这个例子中，libvirt-qemu 用户被授予执行权限（--x），尽管该用户既不是文件所有者，也不属于文件所属组。这种灵活性是 ACL 的核心优势。
设置 ACL
使用 setfacl 命令可以添加、修改或删除 ACL 条目。最常用的选项是 -m（modify），用于设置或更新权限。例如，为目录 dir_x 添加一个 ACL 条目，授予 root 用户读权限：
setfacl -m u:root:r dir_x验证结果：
getfacl dir_x输出：
# file: dir_x
# owner: user
# group: group
user::rwx
user:root:r--
group::r-x
other::r-x您也可以为组设置 ACL。例如，为 developers 组添加读写权限：
setfacl -m g:developers:rw dir_x要移除特定 ACL 条目，使用 -x 选项。例如，移除 root 用户的 ACL：
setfacl -x u:root dir_x要清除所有 ACL 条目，恢复到标准权限，使用 -b 选项：
setfacl -b dir_x默认 ACL
对于目录，可以设置默认 ACL，控制在该目录中创建的新文件或子目录的初始 ACL。默认 ACL 使用 d: 前缀。例如，为 dir_x 设置默认 ACL，确保新文件授予 root 用户读权限：
setfacl -m d:u:root:r dir_x验证默认 ACL：
getfacl dir_x输出将包含：
default:user:root:r--现在，在 dir_x 中创建的新文件会自动继承此 ACL。例如：
touch dir_x/new_file
getfacl dir_x/new_file输出：
# file: dir_x/new_file
# owner: user
# group: group
user::rw-
user:root:r--
group::r--
other::r--默认 ACL 特别适用于共享目录，确保新创建的文件自动遵循预定义的权限策略。
ACL 的实际应用
ACL 在多用户或多团队环境中具有广泛的应用。例如，假设您管理一个项目目录 /project，需要实现以下权限策略：
- 项目经理（
manager）具有读写执行权限。 - 开发团队（
developers组）具有读执行权限。 - 外部顾问（
alice）仅具有只读权限。
命令如下：
setfacl -m u:manager:rwx,u:alice:r,g:developers:rx /project
setfacl -m d:u:manager:rwx,d:u:alice:r,d:g:developers:rx /project验证：
getfacl /project输出：
# file: project
# owner: user
# group: group
user::rwx
user:manager:rwx
user:alice:r--
group::r-x
group:developers:r-x
other::r-x
default:user::rwx
default:user:manager:rwx
default:user:alice:r--
default:group::r-x
default:group:developers:r-x
default:other::r-x这种配置确保新文件自动继承相同的权限策略，简化了权限管理。
文件保护属性
除了 ACL，GNU/Linux 还支持文件保护属性（file attributes），为关键文件提供额外的安全层。这些属性可以防止文件被意外删除、修改或覆盖，尤其适用于系统配置文件、日志文件或敏感数据。文件保护属性通过 chattr 命令设置，并使用 lsattr 命令查看。
查看文件保护属性
使用 lsattr 查看文件的保护属性。例如：
lsattr file_a输出：
-------------e-- file_a这里的 e 表示文件使用扩展分区（常见于 ext2/ext3/ext4 文件系统），其他位置的 - 表示没有设置特殊属性。
设置文件保护属性
最常用的文件保护属性是 i（immutable，意为不可变）。设置了 i 属性的文件无法被修改、删除、重命名或链接，即使是 root 用户也不行。例如，为 file_a 设置不可变属性：
sudo chattr +i file_a
lsattr file_a输出：
----i--------e-- file_a尝试删除或修改文件：
rm file_a输出：
rm: cannot remove 'file_a': Operation not permitted即使以 root 身份尝试删除，也会失败：
sudo rm file_a输出：
rm: cannot remove 'file_a': Operation not permitted要移除不可变属性：
sudo chattr -i file_a之后可以正常删除文件：
rm file_a其他文件保护属性
除了 i 属性，常见的文件保护属性还包括：
a（append-only）：文件只能追加内容，无法覆盖或删除。常用于日志文件，确保内容不被篡改。u（undeletable）：文件删除后可恢复（仅在某些文件系统支持，如 ext2）。s（secure deletion）：文件删除时数据被安全擦除，防止恢复。
例如，设置追加模式：
sudo chattr +a log_file尝试覆盖写入：
echo "test" > log_file输出：
bash: log_file: Operation not permitted但追加内容是允许的：
echo "test" >> log_file实际应用场景
文件保护属性在以下场景中非常有用：
- 防止误删关键文件：为系统配置文件（如
/etc/passwd）设置i属性，防止意外删除。 - 保护日志文件：为日志文件设置
a属性，确保日志只能追加，防止篡改。 - 数据安全：为敏感文件设置
s属性，确保删除后数据无法恢复。
高级权限管理实践
结合 ACL 和文件保护属性
ACL 和文件保护属性可以结合使用，构建复杂的安全策略。例如，假设您管理一个共享目录 /shared_data，需要：
- 允许特定用户（如
bob）读写。 - 允许
analysts组只读。 - 防止文件被非所有者删除。
- 保护关键文件不被修改。
命令如下：
# 设置 ACL
setfacl -m u:bob:rw,g:analysts:r /shared_data
# 设置默认 ACL
setfacl -m d:u:bob:rw,d:g:analysts:r /shared_data
# 设置 Sticky Bit 防止非所有者删除
chmod +t /shared_data
# 为关键文件设置不可变属性
sudo chattr +i /shared_data/critical_file验证：
ls -ld /shared_data
getfacl /shared_data
lsattr /shared_data/critical_file输出：
drwxr-xr-t+ 2 user group 4096 Oct 10 12:20 /shared_data
# file: shared_data
# owner: user
# group: group
user::rwx
user:bob:rw-
group::r-x
group:analysts:r--
other::r-x
default:user::rwx
default:user:bob:rw-
default:group::r-x
default:group:analysts:r--
default:other::r-x
----i--------e-- /shared_data/critical_file这种配置确保：
bob可以读写文件，analysts组只能读取。- 新文件自动继承相同的 ACL。
- 非所有者无法删除目录中的文件（由于 Sticky Bit）。
critical_file无法被修改或删除（由于i属性）。
安全注意事项
- 最小权限原则：仅授予用户或组完成任务所需的最低权限。避免使用过于宽松的权限（如
777），以降低安全风险。 - 谨慎使用 SetUID/SetGID：这些权限可能导致安全漏洞，尤其是 SetUID 文件以
root身份运行时。仅对可信程序使用。 - 定期审计 ACL：ACL 的复杂性可能导致配置错误。定期使用
getfacl检查权限，确保配置符合预期。 - 备份关键文件：在设置
i属性前，确保有备份，以免无法修改文件。 - 监控文件系统：使用工具（如
auditd）监控文件访问和修改，及时发现异常行为。
总结
访问控制列表（ACL）和文件保护属性是 GNU/Linux 系统中强大的权限管理工具，弥补了传统 rwx 权限的局限性。ACL 允许为特定用户或组设置细粒度权限，适用于多用户协作或复杂权限需求的环境。文件保护属性（如不可变属性）通过限制文件的修改和删除操作，为关键数据提供了额外的安全保障。
通过本文，您应该能够：
- 理解 ACL 的作用并使用
getfacl和setfacl管理权限。 - 配置默认 ACL，确保新文件继承正确的权限。
- 使用
chattr和lsattr设置和查看文件保护属性。 - 结合 ACL 和文件保护属性构建复杂的安全策略。
- 遵循最佳实践，确保权限配置的安全性和可靠性。
掌握这些工具将帮助您在 GNU/Linux 系统中实现更安全、更灵活的权限管理，无论是保护敏感数据还是优化多用户协作环境，都能游刃有余。
原文 https://blog.csdn.net/2301_79518550/article/details/146293994