mysql访问控制列表acl_Linux访问控制列表（Access Control List，简称ACL）

80 阅读 0 评论 53 点赞

我是靠谱客的博主悲凉高跟鞋，最近开发中收集的这篇文章主要介绍mysql访问控制列表acl_Linux访问控制列表（Access Control List，简称ACL），觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

Linux访问控制列表(Access Control List，简称ACL)

作者：尹正杰

一.ACL概述

ACL：Access Control List，实现灵活的权限管理

除了文件的所有者，所属组和其它人，可以对更多的用户设置权限

CentOS7 默认创建的xfs和ext4文件系统具有ACL功能

CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加

tune2fs –o acl/dev/sdb1mount –o acl /dev/sdb1 /mnt/test

ACL生效顺序：所有者，自定义用户，自定义组，其他人

二.为jason用户对某个文件设置ACL权限

[root@node101.yinzhengjie.org.cn ~]# ll /data/total4

-rw-r--r--. 1 jason devops 0 Sep 10 06:34jason.txt-rw-r--r--. 1 root devops 22 Sep 10 07:44root.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -m u:jason:- /data/root.txt 　　　　　　#这里我们对jason用户设置的权限为空("-"),即无权限访问"/data/root.txt"文件。

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# ll /data/total4

-rw-r--r--. 1 jason devops 0 Sep 10 06:34jason.txt-rw-r--r--+ 1 root devops 22 Sep 10 07:44root.txt　　　　　　　　　　　　　　　　　　　　#大家注意，该文件设置后属性后面的"."变成了"+",说明设置ACL权限啦

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt 　　　　　　　　　　　　　　　#我们可以使用该命令查看相应的ACL设置

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: devops

user::rw-user:jason:---　　　　#我们发现jason用户对该文件的权限为0group::r--mask::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# su -l jason

Lastlogin: Tue Sep 10 06:34:17 PDT 2019 on pts/0[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ ll /data/root.txt-rw-r--r--+ 1 root devops 22 Sep 10 07:44 /data/root.txt

[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ cat /data/root.txtcat: /data/root.txt: Permission denied

[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ echo "尹正杰到此一游">> /data/root.txt-bash: /data/root.txt: Permission denied

[jason@node101.yinzhengjie.org.cn~]$

三.为属组对某个文件设置ACL权限

[root@node101.yinzhengjie.org.cn ~]# groupadd devops

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# idjason

uid=10086(jason) gid=10086(jason) groups=10086(jason)

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# usermod -G devops jason　　　　　　　　　　#为了测试，我们将jason用户加入devops组

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# idjason

uid=10086(jason) gid=10086(jason) groups=10086(jason),10097(devops)

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# ll /data/total4

-rw-r--r--. 1 root root 22 Oct 9 05:53root.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/getfacl: Removing leading'/'from absolute path names

#file: data/# owner: root

# group: root

# flags:--t

user::rwx

group::r-x

other::rwx

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# su -l jason

Lastlogin: Wed Oct 9 05:58:25 CST 2019 on pts/1[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ cat /data/root.txt

尹正杰到此一游

[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ echo "jason到此一游" >> /data/root.txt 　　　　　　　　#我们发现没有设置ACL权限无法写入数据。-bash: /data/root.txt: Permission denied

[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ exit

logout

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -m g:devops:rw /data/root.txt 　　　　　　　　#我们为devops组添加读写权限

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

[jason@node101.yinzhengjie.org.cn~]$ echo "jason到此一游" >> /data/root.txt　　　　　　　　　　#再次写入数据，发现数据写入成功啦！

[jason@node101.yinzhengjie.org.cn~]$

[jason@node101.yinzhengjie.org.cn~]$ cat /data/root.txt

尹正杰到此一游

jason到此一游

[jason@node101.yinzhengjie.org.cn~]$

四.将一个文件的权限复制给另一个文件权限

[root@node101.yinzhengjie.org.cn ~]# setfacl -m u:jason:rw /data/root.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# touch /data/a.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/a.txt

getfacl: Removing leading'/'from absolute path names

#file: data/a.txt

# owner: root

# group: root

user::rw-group::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt | setfacl --set-file=- /data/a.txt　　　　　　#将/data/root.txt文件权限复制给/data/a.txt文件

getfacl: Removing leading'/'from absolute path names

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/a.txt

getfacl: Removing leading'/'from absolute path names

#file: data/a.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

五.清除ACL权限

1>.清除指定用户的ACL权限

[root@node101.yinzhengjie.org.cn ~]# getfacl /data/a.txt

getfacl: Removing leading'/'from absolute path names

#file: data/a.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -x u:jason /data/a.txt 　　　　　　　　#清除jason用户的ACL权限。

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/a.txt

getfacl: Removing leading'/'from absolute path names

#file: data/a.txt

# owner: root

# group: root

user::rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

2>.清除指定组的ACL权限

1 [root@node101.yinzhengjie.org.cn ~]# getfacl /data/a.txt2 getfacl: Removing leading '/'from absolute path names3 # file: data/a.txt4 # owner: root5 # group: root6 user::rw-

7 group::r--

8 group:devops:rw-

9 mask::rw-

10 other::r--

12 [root@node101.yinzhengjie.org.cn ~]#13 [root@node101.yinzhengjie.org.cn ~]# setfacl -x g:devops /data/a.txt 　　　　　　#仅仅清除掉devops组的ACL权限14 [root@node101.yinzhengjie.org.cn ~]#15 [root@node101.yinzhengjie.org.cn ~]# getfacl /data/a.txt16 getfacl: Removing leading '/'from absolute path names17 # file: data/a.txt18 # owner: root19 # group: root20 user::rw-

21 group::r--

22 mask::r--

23 other::r--

25 [root@node101.yinzhengjie.org.cn ~]#26 [root@node101.yinzhengjie.org.cn ~]#

3>.清除所有ACL权限

[root@node101.yinzhengjie.org.cn ~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--group:devops:rw-mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -b /data/root.txt 　　　　　　　　#清除所有ACL权限

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]#

六.访问控制列表的注意事项

1>.mask只影响除所有者和other的之外的人和组的最大权限

[root@node101.yinzhengjie.org.cn ~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -m mask::rw /data/root.txt 　　　　#mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)，用户和组的设置必须存在于mask权限设定范围内才会生效。

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--mask::rw-other::r--[root@node101.yinzhengjie.org.cn~]#

2>.--set选项会把原来又的ACL选项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能像-m一样只是添加ACL就可以

[root@node101.yinzhengjie.org.cn ~]# setfacl -b /data/root.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-group::r--other::---[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl --set u::rw,u:jason:rw,g::r,o::- /data/root.txt

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# getfacl /data/root.txt

getfacl: Removing leading'/'from absolute path names

#file: data/root.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--mask::rw-other::---[root@node101.yinzhengjie.org.cn~]#

3>.备份和恢复ACL(主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息)

[root@node101.yinzhengjie.org.cn ~]# getfacl -R /data/ >acl.txt　　　　　　　　#备份某个目录的文件ACL权限

getfacl: Removing leading'/'from absolute path names

[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# catacl.txt 　　　　　　　　　　　　　　　　 #查看备份目录的ACL权限信息

#file: data/# owner: root

# group: root

# flags:--t

user::rwx

group::r-x

other::rwx

#file: data//root.txt

# owner: root

# group: root

user::rw-user:jason:rw-group::r--mask::rw-other::---#file: data//a.txt

# owner: root

# group: root

user::rw-group::r--mask::r--other::r--[root@node101.yinzhengjie.org.cn~]#

[root@node101.yinzhengjie.org.cn~]# setfacl -R --set-file=acl.txt /data/#恢复指定目录的ACL权限

[root@node101.yinzhengjie.org.cn~]#

七.小试牛刀

1>.在/testdir/dir里创建新文件自动属于webs组，组apps的成员如tomcat能对这些新文件有读写权限，组dbs的成员如:mysql只能对新文件有读权限，其它用户(不属于webs，apps，dbs)不能访问这个文件夹2>.备份/testdir/dir里所有文件的ACL权限到/root/acl.txt中，清除/test/dir中所有ACL权限，最后还原ACL权限。