Linux的ACL权限与sudo的使用

[root@study xiaoqi]# dmesg | grep -i acl
[    0.802725] systemd[1]: systemd 219 running in system mode. (+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ -LZ4 -SECCOMP +BLKID +ELFUTILS +KMOD +IDN)
[    5.984586] SGI XFS with ACLs, security attributes, no debug enabled

 [root@study ~]# setfacl [-bkRd] [{-m|-x} acl 参数] 目标文件名 
 选项与参数:
-m :设定后续的 acl 参数给文件使用，不可与 -x 合用;
-x :删除后续的 acl 参数，不可与 -m 合用;
-b :移除『所有的』 ACL 设定参数;
-k :移除『预设的』 ACL 参数，关于所谓的『预设』参数于后续范例中介绍;
-R :递归设定 acl ，亦即包括次目录都会被设定起来;
-d :设定『预设 acl 参数』的意思!只对目录有效，在该目录新建的数据会引用此默认值

#1. 针对特定使用者的方式:
#设定规范:『 u:[使用者账号列表]:[rwx] 』，例如针对 vbird1 的权限规范 rx :
[root@study xiaoqi]# touch acl_test1
[root@study xiaoqi]# ll acl_test1 
-rw-r--r--. 1 root root 0 10月  3 16:53 acl_test1
[root@study xiaoqi]# setfacl -m u:vbird1:rx acl_test1
[root@study xiaoqi]# ll acl_test1 
-rw-r-xr--+ 1 root root 0 10月  3 16:53 acl_test1
#权限部分多了个 + ，且与原本的权限 (644) 看起来差异很大!但要如何查阅呢?

[root@study xiaoqi]# setfacl -m u::rwx acl_test1
[root@study xiaoqi]# ll acl_test1 
-rwxr-xr--+ 1 root root 0 10月  3 16:53 acl_test1
#设定值中的 u 后面无使用者列表，代表设定该文件拥有者，所以上面显示 root 的权限成为 rwx 了!

[root@study ~]# getfacl filename
选项与参数:
getfacl 的选项几乎与 setfacl 相同!所以鸟哥这里就免去了选项的说明啊!

#请列出刚刚我们设定的 acl_test1 的权限内容:
[root@study xiaoqi]# getfacl acl_test1 
#file: acl_test1    <==说明文件名而已!
#owner: root        <==说明此文件的拥有者，亦即 ls -l 看到的第三使用者字段
#group: root        <==此文件的所属群组，亦即 ls -l 看到的第四群组字段
user::rwx            <==使用者列表栏是空的，代表文件拥有者的权限
user:vbird1:r-x        <==针对 vbird1 的权限设定为 rx ，与拥有者并不同!
group::r--            <==针对文件群组的权限设定仅有 r
mask::r-x            <==此文件预设的有效权限 (mask)
other::r--            <==其他人拥有的权限!

#2.针对特定群组的方式:
#设定规范:『 g:[群组列表]:[rwx] 』，例如针对 mygroup1 的权限规范 rx :
[root@study xiaoqi]# setfacl -m g:mygroup1:rx acl_test1
[root@study xiaoqi]# getfacl acl_test1 
#file: acl_test1
#owner: root
#group: root
user::rwx
user:vbird1:r-x
group::r--
group:mygroup1:r-x    <==这里就是新增的部分!多了这个群组的权限设定!
mask::r-x
other::r--

#3.针对有效权限 mask 的设定方式:
#设定规范:『 m:[rwx] 』，例如针对刚刚的文件规范为仅有 r :
[root@study xiaoqi]# setfacl -m:r acl_test1 
[root@study xiaoqi]# getfacl acl_test1 
#file: acl_test1
#owner: root
#group: root
user::r--
user:vbird1:r-x        #effective:r-- <--vbird1+mask 均存在者，仅有 r 而已，x 不会生效
group::r--
group:mygroup1:r-x    #effective:r--    
mask::r-x
other::r--

例题:将前一小节任务二中 /srv/projecta 这个目录，让 myuser1 可以进入查阅，但 myuser1 不具有修改的权力。

答:由于 myuser1 是独立的使用者与群组，因此无法使用传统的 Linux 权限设定。此时使用 ACL 的设定如下:

#1.先测试看看，使用 myuser1 能否进入该目录?
[myuser@study xiaoqi]$ cd /srv/projecta/
bash: cd: /srv/projecta/: 权限不够

#2.开始用 root 的身份来设定一下该目录的权限吧!
[root@study xiaoqi]# setfacl -m u:myuser1:rx /srv/projecta/
[root@study xiaoqi]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names
#file: srv/projecta/
#owner: root
#group: projecta
#flags: -s-
user::rwx
user:myuser1:r-x    <--还是要看看有没有设定成功!
group::rwx
mask::rwx
other::---

#还是要使用 myuser1 去测试看看结果!
[myuser1@study xiaoqi]$ cd /srv/projecta/
[myuser1@study projecta]$ pwd
/srv/projecta
[myuser1@study projecta]$ ll -la
总用量 4
drwxrws---+ 2 root projecta  6 10月  2 22:56 .    <--可以查看
drwxr-xr-x. 3 root root     54 10月  2 22:56 ..


[myuser1@study projecta]$ touch testing
touch: 无法创建"testing": 权限不够    <--确实不可以写入!

[root@study xiaoqi]# cd /srv/projecta/
[root@study projecta]# touch abc1
[root@study projecta]# mkdir abc2
[root@study projecta]# ll -d abc*
-rw-r--r--. 1 root projecta 0 10月  3 17:38 abc1
drwxr-sr-x. 2 root projecta 6 10月  3 17:38 abc2

#4.针对预设权限的设定方式:
#设定规范:『d:[ug]:使用者列表:[rwx] 』

#让 myuser1 在 /srv/projecta 底下一直具有 rx 的预设权限!
[root@study projecta]# setfacl -m d:u:myuser1:rx /srv/projecta/
[root@study projecta]# getfacl /srv/projecta/
getfacl: Removing leading '/' from absolute path names
#file: srv/projecta/
#owner: root
#group: projecta
#flags: -s-
user::rwx
user:myuser1:r-x
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:myuser1:r-x
default:group::rwx
default:mask::rwx
default:other::---


[root@study projecta]# cd /srv/projecta/
[root@study projecta]# touch zzz1
[root@study projecta]# mkdir zzz2
[root@study projecta]# ll -d zzz*
-rw-rw----+ 1 root projecta 0 10月  3 17:42 zzz1
drwxrws---+ 2 root projecta 6 10月  3 17:42 zzz2
#看吧!确实有继承喔!然后我们使用 getfacl 再次确认看看!

[root@study projecta]# getfacl zzz2
#file: zzz2
#owner: root
#group: projecta
#flags: -s-
user::rwx
user:myuser1:r-x
group::rwx
mask::rwx
other::---
default:user::rwx
default:user:myuser1:r-x
default:group::rwx
default:mask::rwx
default:other::---

问:针对刚刚的 /srv/projecta 目录的权限设定中，我需要 1)取消 myuser1 的设定(连同默认值)，以及 2)我不能让 pro3 这个用户使用该目录，亦即 pro3 在该目录下无任何权限，该如何设定?

答:取消全部的 ACL 设定可以使用 -b 来处理，但单一设定值的取消，就得要透过 -x 才行了!所以你应该这样作:

#1.1 找到针对 myuser1 的设定值
[root@study projecta]# getfacl /srv/projecta | grep myuser1 
getfacl: Removing leading '/' from absolute path names
user:myuser1:r-x
default:user:myuser1:r-x

#1.2 针对每个设定值来处理，注意，取消某个账号的 ACL 时，不需要加上权限项目!
[root@study projecta]# setfacl -x u:myuser1 /srv/projecta/
[root@study projecta]# setfacl -x d:u:myuser1 /srv/projecta/

2.1开始让 pro3 这个用户无法使用该目录啰!
[root@study projecta]# setfacl -m u:pro3:- /srv/projecta/

[root@study ~]# su [-lm] [-c 指令] [username]
选项与参数:
-  :单纯使用 - 如『 su - 』代表使用 login-shell 的变量文件读取方式来登入系统;
    若使用者名称没有加上去，则代表切换为 root 的身份。
-l :与 - 类似，但后面需要加欲切换的使用者账号!也是 login-shell 的方式。
-m :-m 与 -p 是一样的，表示『使用目前的环境设定，而不读取新使用者的配置文件』 
-c :仅进行一次指令，所以 -c 后面可以加上指令喔!

#范例一:假设你原本是 xiaoqi 的身份，想要使用 non-login shell 的方式变成 root
[xiaoqi@study ~]$ su
密码：
[root@study xiaoqi]# id <-提示的信息xiaoqi
uid=0(root) gid=0(root) 组=0(root) 环境=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023    <--确实是root的身份
[root@study xiaoqi]# env | grep 'xiaoqi'
HOSTNAME=study.centos.xiaoqi
USER=xiaoqi        <--用户还是xiaoqi
PATH=/usr/lib64/qt-3.3/bin:/usr/local/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/home/xiaoqi/.local/bin:/home/xiaoqi/bin
MAIL=/var/spool/mail/xiaoqi
PWD=/home/xiaoqi <--目录并不是root的家目录
LOGNAME=xiaoqi

#虽然你的 UID 已经是具有 root 的身份，但是看到上面的输出讯息吗?
#还是有一堆变量为原本 dmtsai 的身份，所以很多数据还是无法直接利用。
[root@study xiaoqi]# exit 
exit

#范例二:使用 login shell 的方式切换为 root 的身份并观察变量
[xiaoqi@study ~]$ su -
密码：
上一次登录：四 10月  3 18:10:26 CST 2019pts/0 上
[root@study ~]# env | grep 'root'
USER=root
MAIL=/var/spool/mail/root
PATH=/usr/lib64/qt-3.3/bin:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin
PWD=/root
HOME=/root
LOGNAME=root
#了解差异了吧?下次变换成为 root 时，记得最好使用 su - !

#范例三:xiaoqi 想要执行『 head -n 3 /etc/shadow 』一次，且已知 root 密码
[xiaoqi@study ~]$ head -n 3 /etc/shadow
head: 无法打开"/etc/shadow" 读取数据: 权限不够

[xiaoqi@study ~]$ su - -c "head -n 3 /etc/shadow"
密码：    <--输入密码
root:$6$IMbw1vkZUaa9tcgT$2IIAFR4RXN4Fy93tfGae3OrELBJN98EYFhFpubiGtcXUim99egm8OWBqj1Eeqx1Ioz3yubj8prWv05Drwsypz0::0:99999:7:::
bin:*:16659:0:99999:7:::
daemon:*:16659:0:99999:7:::
[xiaoqi@study ~]$   <-- 注意身份还是

#范例四:原本是 xiaoqi 这个使用者，想要变换身份成为 vbird1 时?
[xiaoqi@study ~]$ su -l vbird1
密码： <--这里输入 vbird1 的密码喔!
上一次登录：三 10月  2 22:14:10 CST 2019pts/0 上
[vbird1@study ~]$ su -
密码：    <--这里输入 root 的密码喔!
上一次登录：四 10月  3 18:18:18 CST 2019pts/0 上
[root@study ~]# id sshd
uid=74(sshd) gid=74(sshd) 组=74(sshd)    <--确实有存在此用户

[root@study ~]# su -l sshd
This account is currently not available.  <--用户存在但是无法登录

[root@study ~]# finger  sshd
Login: sshd                             Name: Privilege-separated SSH
Directory: /var/empty/sshd              Shell: /sbin/nologin
Last login 四 10月  3 18:47 (CST) on pts/0
No mail.
No Plan.

[root@study ~]# exit
[vbird1@study ~]$ exit

[root@study ~]# sudo [-b] [-u 新使用者账号] 
选项与参数:
-b :将后续的指令放到背景中让系统自行执行，而不与目前的 shell 产生影响 
-u :后面可以接欲切换的使用者，若无此项则代表切换身份为 root 。

#范例一:你想要以 sshd 的身份在 /tmp 底下建立一个名为 mysshd 的文件
[xiaoqi@study ~]$ sudo -u sshd touch /tmp/mysshd

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for xiaoqi: 
[xiaoqi@study ~]$ ll /tmp/mysshd 
-rw-r--r--. 1 sshd sshd 0 10月  3 21:29 /tmp/mysshd
#特别留意，这个文件的权限是由 sshd 所建立的情况喔!


#范例二:你想要以 vbird1 的身份建立 ~vbird1/www 并于其中建立 index.html 文件
[xiaoqi@study ~]$ sudo -u vbird1 sh -c "mkdir ~vbird1/www; cd ~vbird1/www; \
> echo 'This is index.html file' > index.html"
[sudo] password for xiaoqi: 
[root@study xiaoqi]# ll ~vbird1/www/index.html 
-rw-r--r--. 1 vbird1 vbird1 24 10月  3 21:41 /home/vbird1/www/index.html
#要注意，建立者的身份是 vbird1 ，且我们使用 sh -c "一串指令" 来执行的!

[root@study xiaoqi]# visudo 
....
root    ALL=(ALL)       ALL <--找到这一行,大约在98行
vbird1    ALL=(ALL)       ALL <--在上面这一行的后面添加这行
...

使用者账号   登入者的来源主机名=(可切换的身份)   可下达的指令
root                   ALL=(ALL)              ALL

[vbird1@study ~]$ tail -n 1 /etc/shadow <==注意!身份是 vbird1
tail: cannot open `/etc/shadow' for reading: Permission denied
#因为不是 root 嘛!所以当然不能查询 /etc/shadow


[xiaoqi@study ~]$ sudo tail -n 1 /etc/shadow<==透过 sudo
[sudo] password for xiaoqi: 
myuser:$6$huR0Ovy6$5/hXE.TvwtTPOmc226qNvgxQnfgot9M.KcLFAF7cuvNIWPgph4n.MchHjy1m9ZzWAifbNxc9FwPxS5T/saC7s.:18172:0:99999:7:::
#看!vbird1 竟然可以查询 shadow !

[root@study ~]# visudo <==同样的，请使用 root 先设定
...
%wheel  ALL=(ALL)       ALL <--大约在105行左右,请将这行的#删掉
...
#在最左边加上 % ，代表后面接的是一个『群组』之意!改完请储存后离开

[root@study xiaoqi]# usermod -a -G wheel pro1  <--将 pro1 加入 wheel 的支持

[pro1@study xiaoqi]$ sudo tail -n 1 /etc/shadow  <--注意身份是 pro1
....
[sudo] password for pro1: 
myuser:$6$huR0Ovy6$5/hXE.TvwtTPOmc226qNvgxQnfgot9M.KcLFAF7cuvNIWPgph4n.MchHjy1m9ZzWAifbNxc9FwPxS5T/saC7s.:18172:0:99999:7:::

[pro2@study xiaoqi]$ sudo tail -n 1 /etc/shadow        <--注意身份是 pro2
....
[sudo] password for pro2:     <--输入 pro2 的密码喔!
pro2 不在 sudoers 文件中。此事将被报告。

[root@study ~]# visudo <==同样的，请使用 root 先设定
%wheel ALL=(ALL) NOPASSWD: ALL <==大约在 108 行左右，请将 # 删掉!
#在最左边加上 % ，代表后面接的是一个『群组』之意!改完请储存后离开

[pro1@study xiaoqi]$ sudo tail -n 1 /etc/shadow
myuser:$6$huR0Ovy6$5/hXE.TvwtTPOmc226qNvgxQnfgot9M.KcLFAF7cuvNIWPgph4n.MchHjy1m9ZzWAifbNxc9FwPxS5T/saC7s.:18172:0:99999:7:::

[root@study ~]# visudo <==注意是 root 身份
myuser1 ALL=(root) /usr/bin/passwd <==最后指令务必用绝对路径

[myuser1@study ~]$ sudo passwd myuser3 <==注意，身份是 myuser1
[sudo] password for myuser1: <==输入 myuser1 的密码
Changing password for user myuser3. <==底下改的是 myuser3 的密码喔!这样是正确的 New password:
Retype new password:
passwd: all authentication tokens updated successfully.

[myuser1@study ~]$ sudo passwd
Changing password for user root. <==见鬼!怎么会去改 root 的密码?

[root@study ~]# visudo <==注意是 root 身份
myuser1 ALL=(root) !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root

[root@study ~]# visudo <==注意是 root 身份
User_Alias ADMPW = pro1, pro2, pro3, myuser1, myuser2
Cmnd_Alias ADMPWCOM = !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root 
ADMPW ALL=(root) ADMPWCOM