ACL，就是Access Control List，一個文件/目錄的訪問控制列表，可以針對任意指定的用戶/組分配RWX權(quán)限
用戶權(quán)限管理始終是 Unix 系統(tǒng)管理中最重要的環(huán)節(jié)。大家對 Linux/Unix 的 UGO 權(quán)限管理方式一定不陌生，還有最常用的 chmod 命令。為了實現(xiàn)一些比較復(fù)雜的權(quán)限管理，往往不得不創(chuàng)建很多的組，并加以詳細的記錄和區(qū)分（很多時候就是管理員的噩夢）�？梢葬槍δ骋粋�用戶對某一文件指定一個權(quán)限，恐怕管理員都期待的功能。比如對某一個特定的文件，用戶A可以讀取，用戶B所在的組可以修改，惟獨用戶B不可以……。于是就有了IEEE POSIX 1003.1e這個ACL的標(biāo)準(zhǔn)。所謂ACL，就是Access Control List，一個文件/目錄的訪問控制列表，可以針對任意指定的用戶/組分配RWX權(quán)限�，F(xiàn)在主流的商業(yè)Unix系統(tǒng)都支持ACL。FreeBSD也提供了對ACL的支持。Linux在這個方面也不會落后，從2.6版內(nèi)核開始支持ACL。
準(zhǔn)備工作:
支持ACL需要內(nèi)核和文件系統(tǒng)的支持�，F(xiàn)在2.6內(nèi)核配合EXT2/EXT3, JFS, XFS, ReiserFS等文件系統(tǒng)都是可以支持ACL的。用自己工作用的物理分區(qū)體驗ACL，總是不明智的行為。萬一誤操作導(dǎo)致分區(qū)的損壞，造成數(shù)據(jù)的丟失，損失就大了。作一個loop設(shè)備是個安全的替代方法。這樣不需要一個單獨的分區(qū)，也不需要很大的硬盤空間，大約有個幾百KB就足夠進行我們的體驗了。OK，下面我使用Fedora Core 5和Ext3文件開始對Linux的ACL的體驗。
首先創(chuàng)建一個512KB的空白文件：
#dd if=/dev/zero of=/opt/testptn bs=1k count=512
和一個loop設(shè)備聯(lián)系在一起：
#losetup /dev/loop1 /opt/testptn
創(chuàng)建一個ext3文件系統(tǒng)
#mkfs.ext3 /dev/loop1
掛載此文件系統(tǒng),在掛載時需要告知內(nèi)核在此設(shè)備中使用acl
#mount -o rw,acl /dev/loop1 /mnt
現(xiàn)在我已經(jīng)得到了一個小型的文件系統(tǒng)。而且是支持ACL的。并且即使徹底損壞也不會影響硬盤上其他有價值的數(shù)據(jù)�？梢蚤_始我們的ACL體驗之旅了。
首先新建一個文件作為實施ACL的對象：
#touch file1
#ll file1
然后看一下這個文件缺省的ACL ，這時這個文件除了通常的UGO權(quán)限外，并沒有ACL
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
group::r--
other::r--
注意：即使是不支持ACL的情況下，getfacl仍然返回一個這樣的結(jié)果，不過setfacl是不能工作的。
下面添加幾個用戶和用戶組，一會我將使用ACL賦予他們不同的權(quán)限：
#useradd ceshi1
#useradd ceshi2
#useradd ceshi3
#groupadd ceshi
#usermod -G ceshi ceshi1 ceshi2 ceshi3
在目前情況下，新建的用戶沒有權(quán)限在file1中操作
現(xiàn)在我們對file1的ACL賦予ceshi1足夠的權(quán)限
#setfacl -m u:ceshi1:rw file1
#su - ceshi1
#echo "ceshi1" >>file1
#cat file1
顯示修改成功，用戶ceshi1可以對file1做讀寫操作，我們來看一下file1的ACL
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
user:ceshi1:rw-
group::r--
mask::rw-
other::r--
ll file1
-rw-rw-r--+ root root
權(quán)限后面有個‘+’這個說明file1設(shè)置了ACL，接下來我們修改一下ceshi1的權(quán)限，同時給ceshi這個組讀的權(quán)限
#setfacl -m u:ceshi1:rwx,g:ceshi:r file1
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
user:ceshi1:rwx
group::rw-
group:ceshi:r--
mask::rwx
other::r--
可以看到設(shè)置后的權(quán)限，ceshi1已經(jīng)有了執(zhí)行的權(quán)限，而ceshi這個組也獲得了讀取文件內(nèi)容的權(quán)限。也許有人已經(jīng)注意到了兩個問題：首先， file1的組權(quán)限從r--變成了rw-。其次，mask是什么？為什么也變化了呢？我們先從mask說起。如果說acl的優(yōu)先級高于UGO，那么 mask就是一個名副其實的最后一道防線。它決定了一個用戶/組能夠得到的最大的權(quán)限。這樣我們在不破壞已有ACL的定義的基礎(chǔ)上，可以臨時提高或是降低安全級別：
#setfacl -m mask::r file1
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
user:ceshi1:rwx #effective:r--
group::r--
group:ceshi:r--
mask::r--
other::r--
在ceshi1對應(yīng)的ACL項的后邊出現(xiàn)了effective的字樣，這是實際ceshi1得到的權(quán)限。Mask只對其他用戶和組的權(quán)限有影響，對owner和other的權(quán)限是沒有任何影響的。執(zhí)行l(wèi)s的結(jié)果也顯示UGO的設(shè)置也有了對應(yīng)的變化。因為在使用了ACL的情況下，group的權(quán)限顯示的就是當(dāng)前的mask。通常我們把mask設(shè)置成rwx，以不阻止任何的單個ACL項。
*需要注意的是，每次修改或添加某個用戶或組的ACL項的時候，mask都會隨之修改以使最新的修改能夠真正生效。所以如果需要一個比較嚴(yán)格的mask的話，可能需要每次都重新設(shè)置一下mask。
體驗2 － ACL的其他功能：刪除和覆蓋
如何刪除已有的ACL項？
#setfacl -x g:ceshi file1
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
user:ceshi1:rwx
group::r--
mask::rwx
other::r--
刪除了ceshi組的權(quán)限 ，如果需要去除所有ACL權(quán)限，也可以使用-b選項，所有的ACL都會被刪除
#setfacl -d file1
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
group::r--
other::r--
我們可以用--set設(shè)置一些新的ACL項，并把原有的ACL項全部覆蓋掉，和-m不同，-m選項只是修改已有的配置或是新增加一些，--set選項會把原有的ACL項都刪除，用新的替代，需要注意的是一定要包含UGO的設(shè)置，不能象-m一樣只是添加ACL就可以了。如：
#setfacl --set u::rw,u:ceshi1:rw,g::r,o::- file1
#getfacl file1
#file:file1
#owner:root
#group:root
user::rw-
user:ceshi1:rw-
group::r--
mask::rw-
other::---
o::-的完整寫法是other::---，通常我們可以把“-”省掉，但是當(dāng)權(quán)限位只包含一個“-”必須至少保留一個
如果希望對目錄下的所有子目錄都設(shè)置同樣的ACL，可以使用-R參數(shù)：
#setfacl --set -R u::rw,u:ceshi1:rw,g::r,o::- dir1 ??
如果希望從一個文件讀入ACL，并修改當(dāng)前的文件的ACL，可以用-M參數(shù)：
#cat test.acl
user:testu1:rw-
user:testu2:rw-
group:testg1:r--
group:testg2:r--
mask::rw-
other::---
如果我們希望在一個目錄中新建的文件和目錄都是用一個預(yù)定的ACL，那么我們可以使用默認(rèn)(default)ACL。在對一個目錄設(shè)置了默認(rèn)的ACL以后，每個在目錄中創(chuàng)建的文件會自動繼承目錄的默認(rèn)ACL作為自己的ACL。用setfacl的-d選項可以做到這一點：
#setfacl -d --set g:ceshi:rwx dir1
#getfacl dir1
# file: dir1
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:testg1:rwx
default:mask::rwx
default:other::r-x
默認(rèn)ACL已經(jīng)被設(shè)置,建立一個文件試試：
#touch dir1/file1
#getfacl /dir1/file1
#owner:root
#group:root
user::rw-
group::r-x #effective:r--
group:ceshi:rwx #effective:rw-
mask::rw-
other::r--
file1自動繼承了dir1對testg1設(shè)置的ACL。只是由于mask的存在使得testg1只能獲得rw-權(quán)限
體驗4 － 備份和恢復(fù)ACL
| 
