高级权限--acl, mask,文件属性权限；su切换用户，sudo提权

高级权限

⼀ 、⽂件权限管理：ACL

ACL是为了解决某种特殊环境下的，用户权限需求。

• setfacl ： 设置acl权限
• getfacl ：查看ACL权限

acl权限归属

• u : 指定用户
• g : 指定组
• o : 修改其他用户权限
• m : 指定mask权限

注：默认情况下，ACL权限跟普通权限保持一致。

⽂件⼀旦设置了acl权限后，查看信息会出现⼀个加号，以后包括UGO在内的权限都可以⽤setfacl来设置

修改属主的权限
 setfacl -m u::权限 a.txt
 
 修改属组的权限
 setfacl -m g::权限 a.txt
 
 修改其他⼈的权限
 setfacl -m o::权限 a.txt
 
 修改具体某⼀个⽤户的权限
 setfacl -m u:⽤户名:权限 a.txt
 
 修改具体某⼀个组的权限
 setfacl -m g:组名:权限 a.txt # 组必须存在
 
 # 也可以给⽬录设置，都⼀样

查看与删除

# 查看
getfacl /opt/a.txt
# 删除
setfacl -x g:group1 /opt/a.txt # 删除组hr的权限
setfacl -b /opt/a.txt #删除所有acl权限

应用示例：ACL流程

• 创建文件

chmod o+x /root
chmod o+x /root/xiaochen
cd xiaochen

[root@localhost xiaochen]# touch abc.txt
[root@localhost xiaochen]# chmod 000 abc.txt 
[root@localhost xiaochen]# ll
total 0
---------- 1 root root 0 Mar 16 11:39 abc.txt

• 编写文件

[root@localhost xiaochen]# echo 111 > abc.txt 
[root@localhost xiaochen]# cat abc.txt 
111

• 设置ACL权限

[root@localhost xiaochen]# useradd xiaocao
[root@localhost xiaochen]# setfacl -m u:xiaocao:r abc.txt 
[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
user:xiaozhang:r--
group::---
mask::r--
other::---

# 注：
setfacl -m u:用户名称:权限(rwx) 文件名称

• 查看文件

[root@localhost ~]# su - xiaocao
[xiaocao@localhost ~]$ cat /root/xiaochen/abc.txt
111

ACL权限的删除

• 删除某个权限

[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
user:xiaozhang:r--
group::---
group:xiaochen:r-x		#effective:r--
mask::rw-
other::r--

[root@localhost xiaochen]# setfacl -x u:xiaozhang abc.txt

[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
group::---
group:xiaochen:r-x
mask::r-x
other::r--

[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
group::---
group:xiaochen:r-x
mask::r-x
other::r--

[root@localhost xiaochen]# setfacl -x g:xiaochen abc.txt 
[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
group::---
mask::---
other::r--

• 清空acl权限

[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
user:xiaochen:rw-
user:xiaocao:rw-
group::---
group:xiaochen:rw-
group:xiaocao:rw-
mask::rw-
other::r--

[root@localhost xiaochen]# setfacl -b abc.txt 
[root@localhost xiaochen]# getfacl abc.txt 
# file: abc.txt
# owner: root
# group: root
user::---
group::---
other::r--

ACL继承

默认情况下，ACL是不会继承上层目录的权限的。只有目录设置可继承子集文件才可以继承ACL权限。

[root@localhost ~]# mkdir zizi
[root@localhost ~]# cd zizi/
[root@localhost zizi]# setfacl -m d:u:dandan:w ../zizi
[root@localhost zizi]# touch abc.txt
[root@localhost zizi]# ls -l
total 0
-rw-rw-r--+ 1 root root 0 Mar 16 22:12 abc.txt
[root@localhost zizi]# getfacl abc.txt
# file: abc.txt
# owner: root
# group: root
user::rw-
user:dandan:-w-
group::r-x			#effective:r--
mask::rw-
other::r--

ACL高级用法==========> mask

设置mask命令如下

setfacl -m m:rw /opt/a.txt

设置完mask后，除了所有者和other不受影响，其他都会受到mask的影响，mask决定了他们的最⾼权 限）

mask值就像⼀个筛⼦，⽂件属主和other之外的所有权限都需要被它筛⼀遍，如果mask值为rw-则代表

该筛⼦只放⾏rw权限。本质原理是权限A需要与mask值B进⾏按位与运算，得到的结果才是effective有 效权限

建议：为了⽅便管理⽂件权限，其他⼈的权限置为空：chmod o=- /opt/a.txt

# ps：我们⼀般不更改 mask 权限，只要赋予 mask 最⼤权限（也就是 rwx），则给⽤户或群组
设定的 ACL 权限本身就是有效的。

二、⽂件权限管理：⽂件属性（权限）

[root@localhost ~]# touch /opt/{1..3}.txt
[root@localhost ~]# chmod 000 /opt/*
[root@localhost ~]# lsattr /opt/
---------------- /opt/1.txt
---------------- /opt/2.txt
---------------- /opt/3.txt
[root@localhost ~]# [root@localhost ~]# chattr +a /opt/1.txt # 允许追加内容
[root@localhost ~]# chattr +i /opt/2.txt # 禁⽌任何修改,有些病毒程序会对⽂件加
上该权限
[root@localhost ~]# chattr +A /opt/3.txt # 不更改⽂件访问时间
[root@localhost ~]# [root@localhost ~]# lsattr /opt/
-----a---------- /opt/1.txt
----i----------- /opt/2.txt
-------A-------- /opt/3.txt
# 验证
[root@localhost ~]# echo 111 >> /opt/1.txt
[root@localhost ~]# cat /opt/1.txt
111
[root@localhost ~]# rm -rf /opt/1.txt
rm: ⽆法删除"/opt/1.txt": 不允许的操作
 
# 去掉
[root@localhost ~]# chattr -a /opt/1.txt
[root@localhost ~]# chattr -i /opt/2.txt 
[root@localhost ~]# chattr -A /opt/3.txt

三、SUDO提取

用于普通用户提升权限的。

• 相关的文件：/etc/sudoers
• 检查/etc/sudoers
• 检查配置是否正确：visudo -c
• sudoers文件格式

tom       ALL=           (ALL)          ALL
用户名称   所有机器可登陆    所有IP或主机名   所有的指令

sudo提取部分管理员权限

特点：
 1、使⽤普通⽤户登录，然后sudo命令提取root⽤户的部分管理权限，注意只是某部分，⽽不是全
部。
 2、不需要切换到root账户下
 
优点：相对复杂
缺点：
 1、不需要知道root密码，输⼊的是⽤户⾃⼰的密码
 2、权限控制更为精细：可以控制普通⽤户只获取部分root权限

• 指令编写格式

# 必须写全路径：which查看命令全路径

## 只支持vim命令提权
xianchen ALL=(ALL)  /usr/bin/vim

## 支持所有的命令提权
tom ALL=(ALL)  ALL

## 不支持某个命令提权
tom ALL=(ALL) ALL, !/usr/bin/vim

## 不支持某个命令的部分功能
xiaochen ALL=(ALL)   ALL, !/usr/bin/vim /root/123.txt

四、su切换

su切换⽤户身份

特点：使⽤普通⽤户登录，然后使⽤su命令切换到root账户下
优点：简单粗暴
缺点：
 1、需要知道root密码
 2、权限控制不精细：每次都是获取所有root权限

bash shell配置⽂件介绍(⽂件主要保存⽤户的⼯作环境)

全局配置⽂件：
 /etc/profile
 /etc/profile.d/*.sh
 /etc/bashrc
个⼈配置⽂件：
 ~/.bash_profile
 ~/.bashrc
profile类⽂件, 设定环境变量, 登陆前运⾏的脚本和命令。
bashrc类⽂件, 设定本地变量, 定义命令别名
PS: 如果全局配置和个⼈配置产⽣冲突，以个⼈配置为准。

配置⽂件的应⽤顺序

如果执⾏的是登录式shell，那么配置⽂件执⾏顺序是: /etc/profile->/etc/profile.d/*.sh->~/.bash_profile->~/.bashrc->/etc/bashrc
如果执⾏的是⾮登录式shell，那么配置⽂件执⾏顺序是:
~/.bashrc->/etc/bashrc->/etc/profile.d/*.sh
PS: 验证使⽤echo在每⾏添加⼀个输出即可，注意，要把输出放在⽂件的第⼀⾏。

执⾏登录与⾮登录shell

# 执⾏登录shell：身份与环境都切换
su - ⽤户
# 执⾏⾮登录shell：只切换⽤户身份
su ⽤户
# 补充：
# 1、从root往普通⽤户下切换⽆需输⼊密码，反之则需要
# 2、切换身份执⾏命令：su - ⽤户 -c “命令”

su - xxx 和 su xxx之间区别

1、su - xxx ：相当于切换一个窗口，su xxx 仅仅切换了用户

2、su - xxx ： 切换用户执行的系统文件要多于 su xxx

3、su - xxx 是登录
   su  xxx  切换用户