对话 UNIX,第 4 部分: UNIX 所有权和权限管理

共享信息

了解如何对文件权限进行操作以保护您的文件,或者与他人共享这些文件。

Martin Streicher (mstreicher@linux-mag.com), 主编, Linux Magazine

Martin Streicher 是 Linux Magazine 的主编。他从普度大学获得了计算机科学硕士学位,从 1982 年开始用 Pascal、C、Perl、Java 和(最近)Ruby 编程语言编写类 UNIX 的系统。



2006 年 12 月 26 日

从大约 50 年前电子时代的开始直到 1977 年出现了 Apple 计算机,完成计算工作的硬件设备一直很缺乏,并且购买和运行它们也非常的昂贵。当时,这些(相对)原始的系统非常珍贵,仅仅用来处理那些最复杂的问题。不同的项目之间必须竞争才能获得机时,而最早的信息技术 (IT) 管理人员的任务是保持系统每天 24 小时、每个星期 7 天不间断地进行工作。毕竟,每一秒的闲置都等于浪费金钱。

在理想的情况下,可以根据需要将这些浪费掉的 时间自动地分配给任何处于就绪状态等待进行计算的任务。实际上,这正是分时 (time-sharing) 的基本思想(由 Robert Berner 在 1957 年提出)。在 Multics、RSTS/E 和后来的 UNIX® 及其最新的变种中,都实现了分时或多任务,对计算机资源(CPU、输入和输出、以及内存)进行划分,分配给多个等待执行的作业,使得看起来每个作业都独占了计算机。可以在多任务大型机中附加一些虚拟终端,这样每个终端都可以看作一台个人计算机。

现在,您很可能拥有自己的 UNIX 计算机,或者与其他用户共享功能更强大的多处理器系统。但无论是您的便携式计算机、或者公共机房中的 UNIX 庞然大物,都可能需要进行同时访问。UNIX 提供了健壮的工具和基础结构,以便帮助您保护和共享信息。

本文介绍了用户权限,特别是研究了如何对文件权限进行操作,以便对其他用户限制或共享您的目录和文件。如果您希望流畅地与 UNIX 进行对话,那么了解相关的权限是至关重要的。

ID 和 UID

在开始之前,让我们来看看您使用的究竟是哪个用户。在命令提示符处,输入 whoami

$ whoami
strike

我的计算机回答 strike,这是我的用户名(即登录时所使用的名称)。您的 whoami 应该返回您的登录名称。

当然,您的用户名是用户 ID (UID) 的假名(pseudonym)。要查看您的 UID,可以输入 id -u

$ id -u
501

在本示例中,我的 UID 为 501。

通常,尽可能地使用用户名而不是 UID,因为用户名易于阅读和记忆。例如,如果您运行 ps uxf 命令以查看您的运行进程的列表,那么 ps 将显示您的用户名作为您的进程的所有者。

$ ps uxf
USER       PID %CPU %MEM   VSZ  RSS TTY      STAT START   TIME COMMAND
strike   32346  0.0  0.1  6496 1832 ?        S    19:39   0:00 sshd: strike@pts/0
strike   32347  0.0  0.1  2592 1476 pts/0    Ss   19:39   0:00  \_ -bash
strike   32358  0.0  0.0  2476  820 pts/0    R+   19:39   0:00      \_ ps uxf

输出结果中显示了 3 个进程,分别是:一个 ssh 登录进程,它产生了一个 bash Shell,而后者启动了 ps 命令。类似地,如果您在自己的 home 目录中运行 ls -alFG 以查看您的文件的所有者,那么将显示您的用户名而不是您的 UID。

通常,只有您可以中断自己的任务。(当然,超级用户 root 可以控制和操作所有的任务。)例如,joe(共享相同系统的另一个用户)不能终止我正在运行的 Shell,即上面列表中的进程 32347:

$ whoami
joe
$ kill -INT 32347
-bash: kill: (32347) - Operation not permitted

其中,32347 是我的 Shell 的进程 ID,joe 可以通过运行 ps auxf 找到该信息。然而,因为该进程由我所拥有,所以 joe 不能终止它。与此相反,我当然可以结束自己的任何任务,如清单 1 所示。

清单 1. 结束自己的进程
$ ps uxf
...
strike   32347  0.0  0.1  2592 1488 pts/0    Ss   19:39   0:00  \_ -bash
strike   32733 39.5  0.0  1480  356 pts/0    R    19:50   0:01      \_ yes
$ kill -INT 32733
$ ps uxf
...
strike   32347  0.0  0.1  2592 1488 pts/0    Ss   19:39   0:00  \_ -bash

在运行了 kill -INT 32733 之后,终止了进程 32733(yes 命令)。

尽管这是个比较简单的概念,但严格的所有权和针对每个用户的预置,这两种特性使得 UNIX 远比 Microsoft® Windows® 更加安全。


成员具有相应的权限

与您所启动的作业一样,您还拥有您所创建的目录和文件。例如,在您的 home 目录中运行 ls -alFG 命令和 $HOME 以查看您所拥有的内容,如清单 2 所示。

清单 2. 列出您在自己的 home 目录中所拥有的内容
$ ls -alFG $HOME
...
-rw-------   1 strike     6175 Aug 25 07:03 .bash_history
-rw-------   1 strike      567 Apr 20  2005 .bash_profile
-rw-------   1 strike     1834 Apr 20  2005 .bashrc
drwx------   2 strike     4096 Mar  8 10:54 .ssh/
-rw-------   1 strike     9516 Aug 22 16:42 .viminfo
-rw-r--r--   1 strike  1529617 Jul 19 07:00 Archive.zip
drwxrwx---   3 strike     4096 Aug 24 04:04 IBM/
drwxr-xrwx   3 strike     4096 Jun 14 06:06 backups/
...

UNIX 组中存在的问题

要在组中的所有成员之间共享文件,可以更改文件的组所有者,这是一种非常简单的方法。例如,如果由您、janejoe 组成了 science UNIX 组,并且您希望与这两个用户共享敏感的 nuclear.csv 数据文件,只需要将该文件的组所有者更改为 science 即可。

但是,如果 sambertha 也需要访问该文件,而他们都不属于 science 组,那又应该怎么办呢?当然,您可以将这两个用户加到 science 中,但这样做将允许他们访问 science 组所拥有的所有 文件。

这是 UNIX 组实现中的一个局限性:一个文件有且只能有一个组所有者,而要实现复杂的共享方案通常会导致组的数目激增。(您可以为 joe、jane、sambertha 创建一个新的组,比如 jjsb。但是当 donald 也需要访问时,又应该怎么办呢?)

如果您需要使用复杂的访问控制方案,可以考虑使用访问控制列表 (ACL),许多 UNIX 实现都提供了这种机制。ACL 对标准的 UNIX 所有权模型进行了扩展,可以对每个用户或每个组授予(或撤销)特定的权限。ACL 就像是在门口设置了一个保镖:可以让您的伙伴、某些名流和经过筛选的客人进入,而将无业游民和其他乌合之众拒之门外。

正如您看到的,我拥有我的 home 目录中的所有目录和文件。作为所有者,我可以删除、重命名和移动我的任何文件和目录,并且可以编辑我的任何文件。您对自己的文件(除非特别指明,这里的文件 同时表示文件和目录)具有相同的权限。

另外,您可以决定与其他的用户共享 您的文件。实际上,因为 UNIX 是一种多用户系统,所以共享文件是该操作系统的基本理念之一。

除了特定的用户所有者,每个文件和目录还具有一个 所有者。UNIX 组 只是一些用户的集合,而您可以作为一个或多个组中的成员。使用 id 可以查看您的成员信息:

$ id
uid=501(strike) gid=501(strike) groups=501(strike),
  81(appserveradm), 79(appserverusr), 80(admin)

在我的系统中,我的主要组的组 id (GID) 为 501,该组名为 strike。我还属于其他的 3 个组:

  • appserveradm
  • appserveruser
  • admin

在通常情况以及缺省情况下,您所创建的文件的组所有者为您的主要组,但是您可以将组所有者更改为您所属的任何组。在您的 home 目录中运行 ls -laF,可以显示有关您的文件的更多信息,如清单 3 所示。

清单 3. 显示有关您的文件的更多信息
-rw-------   1 strike strike     6118 Aug 27 21:59 .bash_history
-rw-r--r--   1 strike strike      567 Apr 20  2005 .bash_profile
-rw-r--r--   1 strike strike     1834 Apr 20  2005 .bashrc
drwx------   2 strike strike     4096 Mar  8 10:54 .ssh/
-rw-------   1 strike strike     9516 Aug 22 16:42 .viminfo
-rw-r--r--   1 strike strike  1529617 Jul 19 07:00 Archive.zip
drwxr-xr-x   3 strike strike     4096 Aug 24 04:04 IBM/
drwxrwxr-x   3 strike admin      4096 Jun 14 06:06 backups/

注意:清单 3 显示了 ls -l 的典型输出。清单 2 看起来有些不同,这是因为在前面的讨论中出于简化的目的,有意隐藏了组所有者的信息。您可以使用 -G 隐藏组所有者。

名为 backups 的目录的组所有者为 admin,它将某些权限给予了组中所有的成员。同时,我的其他文件的组所有者为 strike。通常,一个用户是他或她的同名组中的唯一成员,这个同名组有效地将访问权限限制于该用户。


细节内容

如果您回头再看看上面的 ls 的输出结果,您将注意到,每行内容的开头有一个由 10 个字符组成的序列。每个字符都是一个开/关设置或,后者表示了三类用户(您本人、您的一个组和其他用户)的某一种特定的权限。图 1 显示了每一位的用法。

图 1. UNIX 文件的权限位
UNIX 权限

在图 1 中:

  • 起始位表示该文件是否为目录(通常,起始 表示该文件是否为特殊文件。如果该文件是特殊文件,起始字符 d 表示目录、l 表示符号链接,等等)。这个设置是无法改变的。
  • 接下来的三位(用蓝色表示的)分别表示 对该文件的读、写和执行权限。您可以禁用写权限位,例如要防止删除文件。(是的,要删除一个文件,您需要写权限。)
  • 接下来的三位(用绿色表示的)表示 对该文件的读、写和执行权限。
  • 最后的三位(用橙色表示的)表示所有其他 用户(即除了您自己以及您的组中的成员之外的所有用户)的权限。

可以使用 ls -laF 的输出作为示例查找上述内容:

  • 只有我可以读和写 .bash_history、.bash_profile、.bashrc 和 .viminfo 文件。我可以查看、编辑和删除这些文件。
  • 只有我可以访问 .ssh 目录。第一位表示它是一个特殊的文件,d 表示目录。我可以显示该目录中的内容,因为已经设置了它的用户读位。我可以在该目录中添加和删除文件,因为已经设置了它的用户写位。您可能奇怪为什么该目录是用户可执行的。除非设置了该位,否则无法遍历目录(进入目录并列举目录)。(另外,正如本系列的第 3 部分中所提到的,您的 .ssh 目录必须是您私有的,否则您的公钥访问无法正常工作。)
  • 我可以读和写 Archive.zip 文件,并且其他用户可以读该文件。(当然,strike 组也可以读该文件,但如果我是该组中唯一的成员,那么这个权限是没有实际意义的。)
  • 我可以列举、读和写 IBM(另一个目录)中的文件,而其他用户可以列举其中的内容。
  • 最后,admin 组的成员和我可以列举、读和写 backups 目录中的文件,而其他用户可以列举和读。

设置目录的保护 (sticky) 位

如果您希望确保一个目录持久,而不会被意外地删除,那么可以使用 chmod +T 设置其保护 位。

$ ls -lF drwxrwxrwx 2 strike strike 68 Aug 28 06:21 dropbox/ drwx------ 2 strike strike 68 Aug 28 06:21 mine/ $ chmod +t dropbox $ ls -lF drwxrwxrwt 2 strike strike 68 Aug 28 06:21 dropbox/ drwx------ 2 strike strike 68 Aug 28 06:21 mine/

设置保护位并将权限设置为所有用户都可以读、写和执行,每个用户都可以在 dropbox 目录中放置文件,但只有我能够删除该目录中的文件或该目录本身。

如果您运行 ls -ld /tmp,这个用作应用程序临时空间的系统范围临时目录可能是保护的。

您可以使用 chmod更改模式 change mode)命令修改相应的权限(除了目录位之外)。您可以使用 chgrp更改组 change group)命令来修改文件所属的组。(超级用户 root 也可以使用 chownchange owner 命令来更改文件所有权。)

下面是 chmod 的示例应用程序:

  • chmod u+x script.sh如果您编写了一个 Shell 脚本,并且希望执行它,那么需要设置其执行位。其中,短语 u+x 表示对用户所有者 (u) 设置 (+) 执行位 (x)chmod 的一般形式是 chmod,不指定用户(即表示用户)、一个或多个 ug(表示组)、或 o(表示其他用户),+-,以及一个或多个 rwx
  • chmod go+rx IBM这个命令为组和其他用户设置了读和执行权限。
  • chmod a+rx script.sh除了 ugo 以外,您还可以使用修饰符 a 来表示所有用户 或用户、组和其他用户。因此,这个命令为所有的三类用户设置了读和执行权限。
  • chgrp admin backups这个命令将 backups 目录的组所有者更改为 admin。

如果使用 + 添加权限,它将会添加指定的权限,但不会修改其他的权限。与之类似,如果使用 -减号)撤消权限,它将会禁用某些权限,但不会修改其他的权限。如果您希望一次设置所有的权限,可以使用数值文件模式。(您还可以使用 chmod = 操作符。有关详细的内容,请参见手册页面。)

注意:数值文件模式 是从 0 到 7 的 8 进制数字,或三位的数值,其中每一位分别表示读、写和执行。因为对于每个文件都有三类用户,所以完整地指定文件模式需要三个数字,如 400644777。下面提供了一些示例:

  • 要让一个目录成为私有的,可以为自己设置权限,而撤销组和其他用户的权限:
    $ mkdir example
    $ ls -l
    drwxr-xr-x    2 strike  strike       68 Aug 28 11:27 example
    $ chmod 700 example
    $ ls -l
    drwx------    2 strike  strike       68 Aug 28 11:27 example

    模式 700 可以表示为用户设置读、写和执行权限(开头的 7),而禁用所有其他的权限(后面的两个 0)
  • 如果您希望让该计算机上其他的用户可以读取您的文件,可以为所有的三类用户设置读权限:
    $ ls -l .aliases
    -rw-------   1 mstreich  mstreich  79 Jul 26 17:08 .aliases
    $ chmod 644 .alias
    $ ls -l
    -rw-r--r--  1 mstreich  mstreich  79 Jul 26 17:08 .aliases

    644 是一种缩写,它表示为我设置读和写权限 (6),并为组 (4) 和其他用户 (4) 设置读权限。当然,如果您的 home 目录中存在 .aliases 文件,那么必须将 $HOME 设置为允许列举和读。

表 1 给出了用户所有者、组所有者和其他用户的数值及其关联的结果。只需在每个部分中加上相应的值,就可以找到合适的值进行设置。

表 1. 数值及其关联的结果
某类用户结果
用户0400允许所有者读。
0200允许所有者写。
0100对于文件,允许所有者执行,对于目录,允许所有者在该目录中进行搜索。
0040允许组成员读。
0020允许组成员写。
0010对于文件,允许组成员执行,对于目录,允许组成员在该目录中进行搜索。
其他用户0004允许其他用户读。
0002允许其他用户写。
0001对于文件,允许其他用户执行,对于目录,允许其他用户在该目录中进行搜索。

例如,要为其他用户设置读和写权限,可以将 0004 加上 0002 以产生 0006。对于用户和组,可以进行类似的操作,可以将三个总数加在一起,以产生完全限定的数值模式。


权限是非常重要的

在 UNIX 系统中,需要不断地设置和管理相关权限。通常,您需要对特定文件和目录具有适当的权限,以便运行一些守护进程;只有设置了正确的权限,这些目录(如 /tmp)才能正常工作;当然,要与其他用户共享某些文件,或保护您的文件不让其他用户访问,必须能够设置、更改和读取相应的权限。

本系列中的下一篇文章将继续介绍文件,并研究在多台计算机上对大量的文件进行管理的实用程序和技术。

参考资料

学习

获得产品和技术

讨论

条评论

developerWorks: 登录

标有星(*)号的字段是必填字段。


需要一个 IBM ID?
忘记 IBM ID?


忘记密码?
更改您的密码

单击提交则表示您同意developerWorks 的条款和条件。 查看条款和条件

 


在您首次登录 developerWorks 时,会为您创建一份个人概要。您的个人概要中的信息(您的姓名、国家/地区,以及公司名称)是公开显示的,而且会随着您发布的任何内容一起显示,除非您选择隐藏您的公司名称。您可以随时更新您的 IBM 帐户。

所有提交的信息确保安全。

选择您的昵称



当您初次登录到 developerWorks 时,将会为您创建一份概要信息,您需要指定一个昵称。您的昵称将和您在 developerWorks 发布的内容显示在一起。

昵称长度在 3 至 31 个字符之间。 您的昵称在 developerWorks 社区中必须是唯一的,并且出于隐私保护的原因,不能是您的电子邮件地址。

标有星(*)号的字段是必填字段。

(昵称长度在 3 至 31 个字符之间)

单击提交则表示您同意developerWorks 的条款和条件。 查看条款和条件.

 


所有提交的信息确保安全。


static.content.url=http://www.ibm.com/developerworks/js/artrating/
SITE_ID=10
Zone=AIX and UNIX
ArticleID=185617
ArticleTitle=对话 UNIX,第 4 部分: UNIX 所有权和权限管理
publish-date=12262006