一、基本权限（UGO）
1 权限对象
属主： u
属组： g
其他人： o
所有人： a(u+g+o)
2 权限类型（r,w,x）数字表示（4,2,1）
2.1设置权限：
=chown： 设置一个文件属于谁，属主
语法： chwon 用户名.组名 文件
[root@localhost ~]# chown alice.hr file1 //改属主、属组
[root@localhost ~]# chown alice file1 //只改属主
[root@localhost ~]# chown .hr file1 //只改属组
=chgrp： 设置一个文件属于哪个组，属组
语法： chgrp 组名 文件 -R是递归的意思
[root@localhost ~]# chgrp it file1 //改文件属组
[root@localhost ~]# chgrp -R it dir1 //改文件属组
示例1：
针对hr部门的访问目录设置权限，要求如下：
1. root用户和hr组的员工可以读、写、执行
2. 其他用户没有任何权限
操作思路：
1创建组
2创建用户
3修改属主和属组
4设置权限
操作如下:
[root@localhost ~]# groupadd hr
[root@localhost ~]# useradd hr01 -G hr
[root@localhost ~]# useradd hr02 -G hr
[root@localhost ~]# mkdir /home/hr
[root@localhost ~]# chgrp hr /home/hr
[root@localhost ~]# chmod 770 /home/hr
[root@localhost ~]# ll -d /home/hr/
drwxrwx---. 2 root hr 4096 3月 13 14:26 /home/hr/
例子2：
1.r、w、x权限对文件和目录的意义？
image.png
二、基本权限ACL
原理：
acl权限中有个"mask"的选项，它就是ACL权限的最大权限，现在是rwx，当你设置某个用户或组的ACL权限时，要跟mask的权限“相与”之后产生的权限才是该用户的最终权限，也就是加入mask的最大权限是rx,但是你给st用户设置的是rwx权限，此时st用户它的权限只有rx的权限，因为与最大权限“相与”得出的结果就是rx
图示：
image.png
生产案例：
生产环境中，常用于临时降低用户或组（除属主和其他人）的权限
请注意文件基本权限。
1 创建用户（便于测试）
2 创建两个文件（设置其中一个文件的权限掩码）
[root@tianyun ~]# setfacl -m m::--- /tmp/file1.txt
3 删除基本权限
chmod o= /tmp/file1
4 使用账户进行测试
file1.txt没有权限。file2.txt有只读权限。
继承案例：
default: 继承（默认）
要求： 希望alice能够对/home以及以后在/home下新建的文件有读、写、执行权限
思路：
步骤一： 赋予alice对/home读、写、执行权限
[root@tianyun ~]# setfacl -m u:alice:rwx /home
步骤二： 赋予alice对以后在/home下新建的文件有读、执行权限 （使alice的权限继承）
d default 继承
[root@tianyun ~]# setfacl -m d:u:alice:r-x /home
二、高级权限
高级权限的类型：suid=4 sgind=2 sticky=1
suid,sgid针对文件程序时，具备临时提升权限
sgid针对目录时，该目录具备继承属组的特性
sticky针对目录设置，该目录中的内容只有root和属主能够删除
例子1 ：普通用户通过suid提权（针对文件）
suid 普通用户通过suid提权 <针对文件>
在进程文件（二进制，可执行）上增加suid权限
[root@tianyun ~]# chmod u+s /usr/bin/cat
[alice@tianyun ~]$ cat /root/file1.txt
请在试验后，将cat的suid权限除去。
示例2：sticky 用户只能删除自己的文件 <针对目录>
[root@tianyun ~]# mkdir /home/dir1
[root@tianyun ~]# chmod 777 /home/dir1
测试：user1在/home/dir1建立文件, user2尝试删除！
[root@tianyun ~]# chmod o+t /home/dir1
[root@tianyun ~]# ll -d /home/dir1
rwxrwxrwt 2 root root 4096 09-02 02:26 /home/dir1
谁可以删除：
root
文件的所有者
目录的所有者
文件chattr属性
文件权限管理之： 文件属性
注：设置文件属性(权限)，针对所有用户，包括root
1 先创建三个文件进行对比。查看默认权限。
[root@tianyun ~]# touch file100 file200 file300 file400
[root@tianyun ~]# lsattr file100 file200 file300
-------------- file100
-------------- file200
-------------- file300
2 加上不同属性。
[root@tianyun ~]# man chattr
[root@tianyun ~]# chattr +a file100 //只能追加
[root@tianyun ~]# chattr +i file200 //不能更改，重命名，删除
[root@tianyun ~]# chattr +A file300 //不能更改访问时间。
3 查看不同属性
[root@tianyun ~]# lsattr file100 file200 file300
-----a-------e- file100
----i--------e- file200
-------A-----e- file300
4 尝试追加，删除，更改。100不能覆盖，200不能删除，300改了不计时间。
[root@tianyun ~]# echo 111 > file100 //以覆盖的方式写入
bash: file100: Operation not permitted
[root@tianyun ~]# rm -rf file100
rm: cannot remove `file100': Operation not permitted
[root@tianyun ~]# echo 111 >> file100 //以追加的方式写入，例如日志文件
[root@tianyun ~]# echo 111 > file200
bash: file200: Permission denied
[root@instructor ~]# echo 111 >> file200
bash: file200: Permission denied
[root@tianyun ~]# rm -rf file200
rm: cannot remove `file200': Operation not permitted
5 记录file300 和file400 访问时间
[root@localhost ~]# stat file300 file400
观察两个文件的访问时间。截图
6 更改和访问文件。
[root@localhost ~]# date 06010000
2018年 06月 01日 星期五 00:00:00 CST
[root@localhost ~]# echo 111 >> file300
[root@localhost ~]# echo 111 >> file400
[root@localhost ~]# cat file300 file400
7 观察file300 和file400 访问变化时间
[root@localhost ~]# stat file300 file400
对比第五步文件访问的信息。300没有变化，400有变化。
理解-A锁定了访问时间。
6 将属性还原。
[root@tianyun ~]# chattr -a file100
[root@tianyun ~]# chattr -i file200
[root@tianyun ~]# chattr -A file300
>进程掩码mask umask
示例1：观察系统默认掩码
示例1: 在shell进程中创建文件
[root@tianyun ~]# umask //查看当前用户的umask权限
0022
[root@tianyun ~]# touch file800
[root@tianyun ~]# mkdir dir800
[root@tianyun ~]# ll -d dir800 file800
drwxr-xr-x. 2 root root 4096 3月 11 19:40 dir800
-rw-r--r--. 1 root root 0 3月 11 19:40 file800
示例2：临时修改shell umask
示例2：修改shell umask值（临时）
[root@tianyun ~]# umask 000
[root@tianyun ~]# mkdir dir900
[root@tianyun ~]# touch file900
[root@tianyun ~]# ll -d dir900 file900
drwxrwxrwx. 2 root root 4096 3月 11 19:44 dir900
-rw-rw-rw-. 1 root root 0 3月 11 19:44 file900
示例3：修改shell umask值（永久 建议不要）
示例3：修改shell umask值（永久 建议不要）
[root@tianyun ~]# vim /etc/profile
if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
umask 002
else
umask 022
fi
[root@tianyun ~]# source /etc/profile //立即在当前shell中生效
示例4：通过umask决定新建用户HOME目录的权限
示例4：通过umask决定新建用户HOME目录的权限
[root@tianyun ~]# vim /etc/login.defs
UMASK 077
[root@tianyun ~]# useradd gougou
[root@tianyun ~]# ll -d /home/gougou/
drwx------. 4 gougou gougou 4096 3月 11 19:50 /home/gougou/
[root@tianyun ~]# vim /etc/login.defs
UMASK 000
[root@tianyun ~]# useradd yangyang
[root@tianyun ~]# ll -d /home/yangyang/
drwxrwxrwx. 4 yangyang yangyang 4096 3月 11 19:53 /home/yangyang/
示例5：例如vsftpd进程
/etc/vsftpd/vsftpd.conf 【了解】
示例5：例如vsftpd进程 /etc/vsftpd/vsftpd.conf 【了解】
[root@tianyun ~]# yum -y install vsftpd
[root@tianyun ~]# man vsftpd.conf
anon_umask
local_umask
