浅谈Linux中文件与目录的ACL

在Linux内核源码中，关于文件和目录有ACL的定义，如下所示，那这两个ACL有什么用呢？一起来看一下吧。

struct ext2_inode {
    ...
	__le32	i_file_acl;	/* File ACL */
	__le32	i_dir_acl;	/* Directory ACL */
    ...

文件的ACL

在Linux系统中，ACL（Access Control List，访问控制列表）是一种更灵活的文件权限管理机制，允许为文件或目录设置更精细的权限控制。传统的文件权限机制（即 rwx 权限位）只能对文件所有者、文件所在组和其他用户分别设定读、写、执行权限。而ACL可以为多个特定的用户或用户组分别设置不同的权限，这使得权限管理更加灵活和精确。

ACL的核心概念

• 用户ACL：可以为特定的用户定义对某个文件或目录的访问权限。
• 组ACL：可以为特定的用户组定义权限。
• 默认ACL：可以为某个目录定义一个默认ACL，新创建在此目录中的文件会继承该ACL。

常用的ACL命令

• 查看ACL：使用 getfacl 命令查看某个文件或目录的ACL。

  getfacl filename

• 设置ACL：使用 setfacl 命令为文件或目录设置ACL。

  setfacl -m u:username:rwx filename

  例如，给用户 john 添加读、写、执行权限：

  setfacl -m u:john:rwx /path/to/file

• 删除ACL：可以通过 setfacl 删除某个用户或组的ACL条目。

  setfacl -x u:username filename

ACL的重要性

ACL使得管理员可以更精细地控制文件访问权限，特别是在复杂环境中，当多个用户需要不同权限访问同一资源时，ACL非常有用。

setfacl用法简介

setfacl 是 Linux 系统中用于设置文件和目录的 ACL（访问控制列表）的命令。它允许为特定的用户或用户组指定访问权限，提供比传统的文件权限机制更灵活的权限控制。下面是 setfacl 的常用选项及用法。

setfacl 基本语法

setfacl [选项] <操作> <文件或目录>

常用选项

• -m：修改ACL条目（modify），用于添加或修改文件/目录的ACL权限。
• -x：删除ACL条目（remove），用于删除特定的用户或组的权限。
• -b：移除所有ACL条目（remove all），即清除文件/目录的所有ACL信息。
• -d：设置默认ACL，适用于目录，默认ACL会被子文件或子目录继承。
• -R：递归设置ACL，用于递归修改目录及其子文件和子目录的ACL。
• --set：直接为文件或目录指定完整的ACL，而不是增量修改。
• -k：删除默认ACL。

ACL权限的格式

ACL条目格式为：[标签]:[用户或组]:[权限]

• 用户：u:username:permissions
• 组：g:groupname:permissions
• 其他用户：o::permissions
• 掩码：m::permissions（掩码用于限制组权限）

setfacl 的使用示例

1. 为文件添加用户ACL权限

为用户 john 添加对 /path/to/file 的读写权限：

setfacl -m u:john:rw /path/to/file

2. 为用户组设置权限

为组 developers 添加对目录 /path/to/dir 的读写执行权限：

setfacl -m g:developers:rwx /path/to/dir

3. 删除用户的ACL条目

删除用户 john 对文件 /path/to/file 的权限：

setfacl -x u:john /path/to/file

4. 设置默认ACL

设置目录 /path/to/dir 的默认ACL，使得新创建的文件对用户 alice 有读写权限：

setfacl -m d:u:alice:rw /path/to/dir

5. 递归设置ACL

递归设置目录 /path/to/dir 及其子目录和文件的ACL，使得组 developers 有读写执行权限：

setfacl -R -m g:developers:rwx /path/to/dir

6. 清除所有ACL

清除文件 /path/to/file 的所有ACL信息：

setfacl -b /path/to/file

检查ACL

设置完ACL后，可以使用 getfacl 命令检查文件或目录的ACL：

getfacl /path/to/file

ACL权限的应用场景

setfacl 在多用户环境中非常有用，尤其是在需要不同用户或用户组对同一个文件或目录有不同的访问权限时，它提供了比传统文件权限更灵活的控制手段。

目录的ACL

在Linux系统中，目录的ACL（Access Control List，访问控制列表）允许对目录进行精细的权限控制，定义不同用户或组对该目录的访问权限。与文件的ACL类似，目录的ACL也为特定用户或用户组提供灵活的权限管理，区别在于目录ACL不仅控制目录本身的访问，还控制目录内文件的创建、删除等操作。

目录ACL的作用

通过设置目录的ACL，可以控制以下权限：

1. 读取目录内容（r 权限）：允许用户查看目录下的文件列表。
2. 修改目录内容（w 权限）：允许用户在该目录下创建、删除、重命名文件和子目录。
3. 访问目录（x 权限）：允许用户进入该目录，执行cd等操作。

目录ACL的基本概念

• 用户ACL：为目录指定某个用户的权限（读、写、执行）。
• 组ACL：为目录指定某个用户组的权限。
• 默认ACL：设置目录的默认ACL，新创建的文件和子目录会继承该默认ACL。
  • 例如，如果你为某个目录设置了默认ACL，当用户在该目录下创建新文件时，新文件会自动应用该默认ACL中的权限。

目录ACL的使用示例

1. 添加用户ACL权限

为用户 alice 添加对目录 /data/projects 的读、写、执行权限：

setfacl -m u:alice:rwx /data/projects

这意味着用户 alice 可以进入该目录（x），查看其中的内容（r），以及创建或删除文件（w）。

2. 为组设置ACL

为组 dev_team 添加对目录 /data/projects 的读写执行权限：

setfacl -m g:dev_team:rwx /data/projects

组中的所有成员都可以访问并修改该目录下的内容。

3. 设置目录的默认ACL

设置目录 /data/projects 的默认ACL，使用户 bob 自动拥有新创建文件的读写权限：

setfacl -m d:u:bob:rw /data/projects

这样，当 bob 在该目录中创建新文件时，新文件会自动拥有 rw 权限。

4. 删除目录的ACL权限

删除用户 alice 对目录 /data/projects 的ACL条目：

setfacl -x u:alice /data/projects

5. 递归设置目录ACL

为目录 /data/projects 及其子目录、文件递归设置组 dev_team 的读写执行权限：

setfacl -R -m g:dev_team:rwx /data/projects

目录ACL与默认ACL的区别

• 目录ACL：直接控制该目录的权限，影响现有文件或子目录。
• 默认ACL：仅在新创建的文件或子目录上应用。它不会影响已经存在的文件或目录，只在新文件或子目录创建时自动应用。

查看目录ACL

使用 getfacl 查看目录的ACL：

getfacl /data/projects

ACL的这种灵活控制对于多用户环境下的文件共享、协作场景非常有帮助，能够确保不同用户或用户组有不同的权限级别。