Entwuft:Dirkwagner:Zugriffrechte: Unterschied zwischen den Versionen

Aus ITWiki
Zur Navigation springen Zur Suche springen
 
(Eine dazwischenliegende Version desselben Benutzers wird nicht angezeigt)
Zeile 38: Zeile 38:
 
Diese können mit dem Befehl ls -l angezeigt werden.
 
Diese können mit dem Befehl ls -l angezeigt werden.
  
<div >> ls -l  
+
$ls -l  
  -rw-r-----  1 dirkw privat  2374 2006-10-16 16:15 addressbook.odb</div>
+
  -rw-r-----  1 dirkw privat  2374 2006-10-16 16:15 addressbook.odb
  
 
Die Datei <tt>'''addressbook.odb'''</tt> wurde am 16.10.2006 um 16:15 erstellt. Sie ist 849093 Bytes groß und ge­hört dem Benutzer "<tt>'''dirkw'''</tt>" sowie der Gruppe "<tt>'''privat'''</tt>". Das Rechtefeld schlüsselt sich wie folgt auf:
 
Die Datei <tt>'''addressbook.odb'''</tt> wurde am 16.10.2006 um 16:15 erstellt. Sie ist 849093 Bytes groß und ge­hört dem Benutzer "<tt>'''dirkw'''</tt>" sowie der Gruppe "<tt>'''privat'''</tt>". Das Rechtefeld schlüsselt sich wie folgt auf:
Zeile 60: Zeile 60:
 
|  | Die Gruppe darf die Da­tei nur lesen
 
|  | Die Gruppe darf die Da­tei nur lesen
 
|  | Alle anderen haben kei­nen Zugriff auf die Datei
 
|  | Alle anderen haben kei­nen Zugriff auf die Datei
 
 
 
|-
 
|-
 
|}
 
|}
Zeile 314: Zeile 312:
 
|-
 
|-
 
|}
 
|}
== Vererbung von Gruppenrechten ==
 
 
Wie können Dateien oder Unterverzeichnisse unterhalb eines bestimmten ext3- oder ext4-Verzeichnisses auf einem Linux-System immer mit der gleichen Gruppe und (!) immer mit den gleichen Gruppen-Rechten erzeugt werden.
 
 
=== Problemstellung ===
 
 
Das Problem der Vererbung von GIDs und Gruppenrechten tritt z.B. immer dann auf, wenn mehrere Entwickler einer Gruppe auf einem Verzeichnis arbeiten und neu erzeugte Dateien auch allen anderen Benutzern der Entwicklergruppe mit gleichen Rechten zugänglich gemacht werden sollen. Und das, ohne dass man beim Erzeugen der neuen Dateien und Verzeichnisse spezielle Rechteänderungen über das "chmod"-Kommando vornehmen müsste.
 
 
Offenbar ist das Thema weniger trivial, als man meinen möchte. Denn manchmal liest man in Tutorials, dass es genügen würde, das SetGID-Bit für das betroffene Directory zu setzen. Das stimmt so leider nicht - und so mancher beginnt dann mit
 
 
\1
 
 
zu experimentieren. Was auch nicht hilft, weil das nur einmalige - wenn auch rekursive - Änderungen im betroffenen Zweig des Dateibaums herbeiführt. Das eigentliche Ziel ist aber, die richtige Gruppenzugehörigkeit und die notwendigen Rechte (meist Schreibrechte) schon beim Erzeugen einer Datei zu erhalten.
 
 
Liegen die Dateien auf einem Fremdrechner, so kann man eine Lösung über Samba erreichen. Wir wollen hier aber eine native Lösung für beschreiben.
 
 
Die richtige Antwort auf dieses Problem ist eine Kombination aus ACLs und dem SetGID-Bit.
 
 
=== Vorgehen ===
 
 
Wir nehmen zwei User eines Systems - "alpha" (uid 1001; dieser User wird der Entwicklunsgleiter) und "beta" (uid 1002). Beide seine Mitglieder der Gruppe "users" (gid 100). umask habe den Standardwert
 
 
umask 022
 
 
Was ist nun zu tun?
 
 
'''Schritt 1: Anlegen einer gemeinsamen Usergruppe '''Als root: Anlegen einer neuen Gruppe "entwickler" (gid: 101) und Zuordnen der beiden User zu dieser Gruppe. (Unter Opensuse z.B. mit Hilfe von Yast; ansonsten mit "groupadd" und "usermod -A" - siehe die man-Seiten).
 
 
'''Schritt 2: Check, ob ACLs für das Filesystem aktiviert sind'''Als root: Prüfe, ob das Filesystems, in dem das Verzeichnis für die Gruppenarbeit angelegt wird, mit der option "acl" gemounted wird. In der Datei "/etc/fstab" sollte sich dafür ein Eintrag der Form
 
 
<div style="margin-left:0cm;margin-right:0cm;">/dev/myFileSystem &nbsp; &nbsp; /myMountPoint &nbsp; &nbsp; ext4 &nbsp; &nbsp; acl,user_xattr &nbsp; &nbsp; 1 2</div>
 
 
finden. "myFileSystem" steht hier für das betroffene Filesystem. "/myMountPoint" steht dagegegen für das Verzeichnis, auf dem das Filesystem gemounted wird. Entscheidend ist die Option "acl".
 
 
'''Schritt 3: Anlegen des Verzeichnisses für die gemeinsame Entwicklungsarbeit'''Als root oder Entwicklungsleiter "alpha": Anlegen des Arbeitsverzeichnisses, unter dem die gemeinsame Projektarbeit vor sich gehen soll. Z.B.:
 
 
<div style="margin-left:0cm;margin-right:0cm;">mkdir &nbsp; /myMountPoint/Entwicklung </div>
 
 
Danach Ändern der Gruppe und der Rechte
 
 
<div style="margin-left:0cm;margin-right:0cm;">chgrp &nbsp; entwicklung &nbsp; &nbsp; /myMountPoint/Entwicklung
 
chmod &nbsp; 775 &nbsp; &nbsp; /myMountPoint/Entwicklung</div>
 
 
'''Schritt 4: Setzen des SetGID-Bits'''Als Entwicklungsleiter "alpha":
 
 
<div style="margin-left:0cm;margin-right:0cm;">chmod &nbsp; g+s &nbsp; &nbsp; /myMountPoint/Entwicklung</div>
 
 
Von nun an erben alle Verzeichnisse und Dateien, die unterhalb des Verzeichnisses "/myMountPoint/Entwicklung" angelegt werden, die die Gruppenzugehörigkeit zur Gruppe "entwicklung".
 
 
'''Schritt 5: Setzen der ACL-Maske'''Als Entwicklungsleiter "alpha":
 
 
<div style="margin-left:0cm;margin-right:0cm;">cd &nbsp;/myMountPoint4
 
 
setfacl -m &nbsp; &nbsp; m::rwx &nbsp; &nbsp; Entwicklung</div>
 
 
Diese Maske setzt die maximal möglichen Rechte für das Verzeichnis "Entwicklung".
 
 
'''Schritt 6: Setzen der Default-Rechte für künftige Dateien und Unterverzeichnisse'''Als Entwicklungsleiter "alpha":
 
 
<div style="margin-left:0cm;margin-right:0cm;">cd &nbsp; /myMountPoint
 
 
setfacl -dm &nbsp; &nbsp; g:entwicklung:rwx &nbsp; &nbsp; Entwicklung</div>
 
 
'''Schritt 7: Prüfen der Rechte für neue Dateien und Unterverzeichnisse'''Als Gruppenmitglied "beta":
 
 
<div style="margin-left:0cm;margin-right:0cm;">cd &nbsp; /myMountPoint/Entwicklung
 
 
touch &nbsp; test
 
ls -l
 
-rw-rw-r--+ 1 &nbsp; &nbsp; beta &nbsp; &nbsp; entwicklung &nbsp; &nbsp; 0 &nbsp; &nbsp; 20. Jul 20:18 &nbsp; &nbsp; test
 
 
mkdir &nbsp; testdir
 
ls -l
 
drwxrwsr-x+ 2 &nbsp; &nbsp; beta &nbsp; &nbsp; entwicklung &nbsp; &nbsp; 4096 &nbsp; &nbsp; 20. Jul &nbsp; &nbsp; 21:20 &nbsp; &nbsp; testdir
 
 
touch &nbsp; testdir/test2
 
ls -l &nbsp; testdir
 
-rw-rw-r--+ 1 &nbsp; &nbsp; beta &nbsp; &nbsp; entwicklung &nbsp; &nbsp; 0 &nbsp; &nbsp; 20. Jul &nbsp; &nbsp; 21:22 &nbsp; &nbsp; test2</div>
 
 
=== Links ===
 
 
[http://wiki.ubuntuusers.de/chmod#SGID-Bit http://wiki.ubuntuusers.de/chmod#SGID-Bit][http://wiki.ubuntuusers.de/ACL#Verzeichnisse http://wiki.ubuntuusers.de/ACL#Verzeichnisse]
 

Aktuelle Version vom 2. August 2020, 13:13 Uhr

1 UNIX-Zugriffsrechte

Um den Zugriff auf Dateien zu regeln, können die Rechte an den Besitzer, die Gruppe und alle anderen vergeben werden.


r read (Lesen)
w write (Schreiben)
x execute (Ausführen)


R W X R W X R W X
user group others

Diese können mit dem Befehl ls -l angezeigt werden.

$ls -l 
-rw-r-----  1 dirkw privat  2374 2006-10-16 16:15 addressbook.odb

Die Datei addressbook.odb wurde am 16.10.2006 um 16:15 erstellt. Sie ist 849093 Bytes groß und ge­hört dem Benutzer "dirkw" sowie der Gruppe "privat". Das Rechtefeld schlüsselt sich wie folgt auf:


- rw- r-- ---
Dateityp Eigentümers Gruppe alle Anderen
Es handelt sich um eine normale Datei. Der Eigentümer darf die Datei lesen, ändern, aber nicht ausführen Die Gruppe darf die Da­tei nur lesen Alle anderen haben kei­nen Zugriff auf die Datei

2 Zugriffsrechte ändern mit chmod

chmod·Modus·Dateiliste

Einstellen der Zugriffsrechte einer Datei. Dies kann im symbolischen oder numerischen Modus durchgeführt werden.

2.1 Symbolischer Modus

Modus = BereichOperandBerechtigung


Bereich u (user) Eigentümer g (group) Gruppe o (others) Übrige Benutzer a(all) oder keine Angabe ändert alle Bereiche
Operand + Recht hinzufügen - Recht wegnehmen = Setzt neue Rechte und löscht alle bisherigen
Berechtigung r Read w Write x eXecute

t(sTicky bit) schützt Datei oder verhindert das löschen einer Datei von Nicht-Eigentümern

s(Set user id) setzt Benutzer- oder Gruppen-ID bei der Ausführung

Beispiele


chmod·+x·datei Ausführungsrecht für alle hinzufügen
chmod·go-w·datei Schreibrecht nur noch für User
chmod·g+rwx·datei Volle Rechte für Gruppe
chmod·ugo-rwx·datei Allen alle Rechte entziehen

Kombinationen mit verschiedenen Zugriffsrechten für verschiedene Rollen können kommagetrennt ange­geben werden:

$ chmod u=rw,g=rw,o=r ktoNr

$ ls -l
-rw-rw-r-- 1 anna users 9 18. Okt 13:20 ktoNr

2.2 Numerischer Modus

Systemintern werden die Zugriffsrechte numerisch verwaltet.

Diese Methode kann auch zum Setzen der Rechte verwendet werden. Die erste Ziffer Bezeichnet die Schutzbit, die zweite Rech­te des Eigentümers, die dritte die Gruppenrechte und vierte Ziffer die Rechte aller anderen Benutzer.

Grafik1.png

Die Zahl errechnet sich durch addieren folgender Okalwerte:


SUID SGID STI R W X R W X R W X
4 2 1 4 2 1 4 2 1 4 2 1
special rights User Group Others

Beispiel


chmod 777·datei rwx rwx rwx
chmod 750 rwx r-x ---
chmod 1750 rwx r-w --t


3 Special Rights

Um den Zugriff noch genauer zu regeln, gibt es drei weiter Schutzbit:


SUID SGID STI R W X R W X R W X
special rights User Group Others

Set User ID (SUID)

Wenn das SUID-Bit (Set User ID) gesetzt ist, behält das Programm für die Dauer der Ausführung die Rechte des Programmeigentümers und nicht jene dessen, der die Programme aufruft.

Setzen

chmod·u+s·datei

Anzeige

"S" statt "X" bei den User-Rechten:

-rwsr-xr-x 1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

Ist zugleich das Ausführungsrecht (x) gesetzt, wird ein kleines 's' angezeigt, ansonsten ein großes 'S'.

Beispiel

Alle Benutzer sind in einer speziellen Datei gespeichert, die nur der Superuser ändern darf - sonst könnte ja jeder einen neuen Benutzer eintragen.

Jeder Benutzer kann aber sein Passwort ändern, das auch in dieser Datei steht. Dazu muss er schreibend auf die Datei zugreifen - obwohl er dazu keine Berechtigung besitzt.

Das Programm "passwd" gehört dem Superuser, hat das SUID-Bit gesetzt und kann so auf die User-Datei schreibend zugreifen.

Set Group ID (SGID)

Wenn das SGID-Bit (Set Group ID) gesetzt ist, hat das Programm die Rechte der Gruppe, zu der es gehört. Dieses Feature wird z. B. beim Drucker-Spooling verwendet.

Bei Dateien ohne Ausführungsrecht sorgt dieses Bit dafür, dass die Datei nur von einem Prozess geöffnet werden kann.

Bei Verzeichnissen hat das SGID-Bit eine andere Aufgabe. Dateien, die in das Verzeichnis kopiert oder erstellt werden, automatisch die Gruppe des Verzeichnisses erhalten (man muss also nicht mehr explizit die Gruppe setzen, um den Mitgliedern einer Gruppe Zugriff zu ermöglichen).

Setzen

chmod·g+s·datei

Anzeige

"s" statt "x" bei den Gruppen-Rechten

drwxrws--- 2 tux archive 48 Nov 19 17:12 backup

Ist zugleich das Ausführungsrecht (x) gesetzt, wird ein kleines 's' angezeigt, ansonsten ein großes 'S'.

STICKY Bit

Das STICKY-Bit sollte früher den Systemdurchsatz verbessern. Programme, bei denen dieses Bit gesetzt ist, verbleiben nach dem ersten Aufruf im Speicher und starten bei den folgenden Aufrufen schneller. Heute ist das nicht mehr nötig.

Bei Verzeichnissen dient dieses Bit der Systemsicherheit.

Auch wenn im Verzeichnis für alle User Schreibrecht existiert (= Löschen und Anlegen von Dateien), können bei gesetztem Sticky-Bit nur Dateien gelöscht werden, die einer folgenden Bedingungen genügen: # die Datei gehört dem Benutzer, der sie löschen will

  1. das Verzeichnis, in dem die Datei liegt, gehört dem Benutzer
  2. der Benutzer hat Schreibrecht für die Datei
  3. der Superuser will die Datei löschen


Setzen

chmod·+t·datei

Anzeige

t" statt "x" bei den "Others"-Rechten

drwxrwxrwt 2 root root 1160 2002-11-19 17:15 /tmp

Ist zugleich das Ausführungsrecht (x) gesetzt, wird ein kleines 't' angezeigt, ansonsten ein großes 'T'.

4 Vorgaben setzen mit umask

umask Modus

Das Kommando umask setzt Standardeinstellung für Zugriffsrechte für alle Dateien, die nach Aufruf von umask erzeugt werden.

So muss nicht jedesmal des chmod-Kommando aufrufen, wenn einen Datei erstellt wurde. Auf bestehende Dateien hat das Kommando keinen Einfluss.

Der dreistellige Zahlenwert (für User, Group und Others) ist das Komplement der Angabe von chmod, d. h. hier wird festgelegt, welches Bit nicht gesetzt werden soll.

Stellen Sie sich vor, sie ziehen den Wert des umask-Modus vom Maximalwert 777 ab. Sie erhalten dann die Zugriffsrechte.

Beispiele


umask 022 7 7 7- 0 2 2= 7 5 5 rwx r-x r-x
umask 027 7 7 7- 0 2 7= 7 5 0 rwx r-x ---
umask 177 7 7 7- 1 7 7= 6 0 0 rw- --- ---