Day05 - chmod chown ACL

查询 命令所对应的执行程序位置

[root@room9pc14 桌面]# which hostname
/bin/hostname

书写周期性计划任务时，执行命令部分尽可能书写命令程序的绝对路径

########################################################

基本权限的类别
访问方式(权限)
– 读取: 容许查看内容-read r
– 写入: 容许修改内容-write w
– 可执行: 容许运行和切换-execute x

对于文本文件
r： cat 、head、 tail、less
w： vim 能够保存
x： ./ 能够运行

对于目录
r 权限: 可以 ls 浏览此目录内容
w 权限: 可以执行 rm/mv/cp/mkdir/touch/ 操做目录的子文档
x 权限: 可以 cd 切换到此目录

• 权限适用对象(归属)
– 全部者: 拥有此文件/目录的用户-user
– 所属组: 拥有此文件/目录的组-group
– 其余用户: 除全部者、所属组之外的用户-other

文件类型：
-：文本文件
d：目录
l：快捷方式(软连接)

[root@server0 ~]# ls -l /etc/passwd
-rw-r--r--. 1 root root 2005 7月  11 2014 /etc/passwd
[root@server0 ~]# ls -ld /etc/
drwxr-xr-x. 133 root root 8192 6月  20 09:03 /etc/
[root@server0 ~]# ls -l /etc/rc.local 
lrwxrwxrwx. 1 root root 13 5月   7 2014 /etc/rc.local -> rc.d/rc.local

[root@server0 ~]# mkdir /nsd01
[root@server0 ~]# ls -ld /nsd01

[root@server0 ~]# chmod u-w /nsd01
[root@server0 ~]# ls -ld /nsd01

[root@server0 ~]# chmod g+w /nsd01
[root@server0 ~]# ls -ld /nsd01

[root@server0 ~]# chmod o=rwx /nsd01
[root@server0 ~]# ls -ld /nsd01

[root@server0 ~]# chmod u=rwx,g=rx,o=rx /nsd01
[root@server0 ~]# ls -ld /nsd01

[root@server0 ~]# chmod o= /nsd01
[root@server0 ~]# ls -ld /nsd01

判断用户具有的权限

1.判断用户角色 全部者>所属组>其余人 匹配及中止

2.再看相应的权限位置

#####################################################
以root用户新建/nsddir/目录，在此目录下新建readme.txt文件，并进一步完成下列操做

1）使用户zhangsan可以在此目录下建立子目录
    chmod o+w  /nsddir/
2）使用户zhangsan不可以在此目录下建立子目录
    chmod o-w  /nsddir/
3）使用户zhangsan可以修改readme.txt文件
    chmod o+w  /nsddir/readme.txt
4）调整此目录的权限，使全部用户都不能进入此目录
    chmod u-x,g-x,o-x  /nsddir/
5）为此目录及其下全部文档设置权限 rwxr-x---
    chmod -R  u=rwx,g=rx,o=---  /nsddir/

设置文档归属
• 使用 chown 命令
– chown [-R] 属主 文档...
– chown [-R] :属组 文档...
– chown [-R] 属主:属组 文档..

[root@server0 ~]# mkdir /nsd03
[root@server0 ~]# groupadd tarena
[root@server0 ~]# ls -ld /nsd03

[root@server0 ~]# chown zhangsan:tarena /nsd03
[root@server0 ~]# ls -ld /nsd03

[root@server0 ~]# chown :users /nsd03
[root@server0 ~]# ls -ld /nsd03

[root@server0 ~]# chown root /nsd03
[root@server0 ~]# ls -ld /nsd03

附加权限(特殊权限)

1.Set UID
• 附加在属主的 x 位上
– 属主的权限标识会变为 s
– 数字表示时为 4
– 仅适用于可执行文件,Set UID可让使用者具备文件属主的身份及部分权限 (传递全部者身份)

2.Set GID
• 附加在属组的 x 位上
– 属组的权限标识会变为 s
– 数字表示时为 2
– 适用于可执行文件,功能与Set UID相似(传递所属组身份)
– 适用于目录,Set GID可使目录下新增的文档自动设置与父目录相同的属组(继承)

3.Sticky Bit
• 附加在其余人的 x 位上
– 其余人的权限标识会变为 t
– 数字表示时为 1
– 适用于开放 w 权限的目录,能够阻止用户滥用 w 写入 权限(禁止操道别人的文档)

[root@server0 ~]# mkdir /nsd1705
[root@server0 ~]# ls -ld /nsd1705

[root@server0 ~]# chown :tarena /nsd1705
[root@server0 ~]# ls -ld /nsd1705

[root@server0 ~]# mkdir /nsd1705/nsd01
[root@server0 ~]# ls -ld /nsd1705/nsd01

[root@server0 ~]# chmod g+s /nsd1705/     #赋予特殊权限
[root@server0 ~]# ls -ld /nsd1705/

[root@server0 ~]# mkdir /nsd1705/nsd02
[root@server0 ~]# ls -l /nsd1705/

[root@server0 ~]# mkdir /nsd1705/nsd02/test
[root@server0 ~]# ls -ld /nsd1705/nsd02/test

[root@server0 ~]# mkdir /public
[root@server0 ~]# ls -ld /public

[root@server0 ~]# chmod u=rwx,g=rwx,o=rwx /public
[root@server0 ~]# ls -ld /public

[root@server0 ~]# chmod o+t /public
[root@server0 ~]# ls -ld /public

acl策略的做用
• 文档归属的局限性
– 任何人只属于三种角色:属主、属组、其余人
– 没法实现更精细的控制

• acl访问策略
– 可以对个别用户、个别组设置独立的权限
– 大多数挂载的EXT3/四、XFS文件系统默认已支持

[root@server0 ~]# mkdir /nsd10
[root@server0 ~]# useradd natasha
[root@server0 ~]# ls -ld /nsd10

[root@server0 ~]# su - natasha
[natasha@server0 ~]$ mkdir /nsd10/test
mkdir: cannot create directory ‘/nsd10/test’: Permission denied
[natasha@server0 ~]$ exit

[root@server0 ~]# setfacl -m u:natasha:rwx /nsd10

[root@server0 ~]# su - natasha
[natasha@server0 ~]$ mkdir /nsd10/test
[natasha@server0 ~]$ ls /nsd10/
[natasha@server0 ~]$ exit

[root@server0 ~]# mkdir /nsd11
[root@server0 ~]# setfacl -m u:lisi:rwx  /nsd11
[root@server0 ~]# getfacl /nsd11

[root@server0 ~]# setfacl -m u:natasha:rx  /nsd11
[root@server0 ~]# setfacl -m u:zhangsan:rwx  /nsd11
[root@server0 ~]# getfacl /nsd11

[root@server0 ~]# setfacl -x u:natasha  /nsd11
[root@server0 ~]# getfacl /nsd11

[root@server0 ~]# setfacl -b  /nsd11
[root@server0 ~]# getfacl /nsd11
[root@server0 ~]# ls -ld  /nsd11

###########################################################
[root@server0 ~]#  chattr +a    /etc/resolv.conf        # 隐藏权限
[root@server0 ~]# lsattr  /etc/resolv.conf              # 查看隐藏权限
###########################################################

典型的LDAP工做模式
• 为一组客户机集中提供可登陆的用户帐号

– 网络用户:用户名、密码信息存储在 LDAP 服务端
– 本地用户：用户名、密码信息存储/etc/passwd /etc/shadow

• 客户端准备
– 修改用户登陆的验证方式,启用 LDAP
– 正确配置 LDAP 服务端参数
– 软件包:sssd(与LDAP服务器联系的软件)
authconfig-gtk（配置sssd的图形软件）

[root@server0 ~]# yum -y install sssd authconfig-gtk
[root@server0 ~]# rpm -q sssd
[root@server0 ~]# rpm -q authconfig-gtk

补充内容  真机操做：
systemctl is-enabled  nfs-server   #查看服务是否开机自起
systemctl enable  nfs-server       #设置服务开机自起
systemctl restart nfs-server      
rht-vmctl reset  cla***oom

验证：
[root@server0 ~]# systemctl restart sssd
[root@server0 ~]# systemctl enable sssd
[root@server0 ~]# id ldapuser0
uid=1700(ldapuser0) gid=1700(ldapuser0) 组=1700(ldapuser0)
[root@server0 ~]# grep 'ldapuser0' /etc/passwd

如何访问NFS共享目录
• 查看NFS资源
[root@server0 ~]# showmount -e 172.25.254.254
Export list for cla***oom:
/home/guests 172.25.0.0/255.255.0.0

• 挂载NFS共享目录
– mount 服务器地址:目录路径 本地挂载点

# mkdir /home/guests
# mount 172.25.254.254:/home/guests/     /home/guests/
# ls /home/guests/
# su - ldapuser0
# vim /etc/fstab
172.25.254.254:/home/guests     /home/guests  nfs   rw  0  0