ACL prakticky (diskuse)

[Maverick]

Lze v Linuxu řešit nějakým způsobem dědění práv v již vytvořených adresářích? např:

- změna práv adresáře nastaví práva v souborech

- při kopírování soborů do adresáře kopírovaný soubor zdědí práva 'nového' adresáře?

Velmi mi chybí nastavování práv ala Novell Netware. Pokud to nelze čistě přes ACL filesystemu, existuje nějaká spolehlivá finta?

[tezkatlipoka]

1/ samo nikoliv, ale pokud menis prava na adresari pouzijes parametr -R pro rekursivni nahrani prav vsech podadresarum a souborum

2/cekal jsem ze ano, ale zda se ze nikoliv, ale mozna to je muj problem, ACL pouzivam totiz pouze u SMB sdileni, a cast nastaveni ACL, dedicnost, apod. resim pres Sambu

[Michal Kubeček]

Ad 2: problém je v tom, že defaultní ACL sice zajistí správné nastavení práv při vytvoření nového souboru, ale příkaz cp je pak přepíše víceméně v souladu s právy kopírovaného souboru. Pokud se proces rozhodne práva dodatečně změnit, je proti tomu samozřejmě nastavení defaultního ACL bezmocné.

[tezkatlipoka]

problem taky muze byt v tom ze jsem vocas, a kopiroval jsem to v MC, a to ted nevim jestli je s podporou ACL.

[petr_p]

Ovšem cp z coreutils nic takové standardně nedělá. To by ho k tomu musel uživatel donutit přepínačem -p.

Zkoušel jsem si to a verze 6.12 se chová dle očekávání (tj. v rozporu s tím, na co si stěžoval předřečník):

$ strace cp testfile  testdir/
[…]
open("testfile", O_RDONLY|O_LARGEFILE)  = 3
fstat64(3, {st_mode=S_IFREG|0755, st_size=0, ...}) = 0
open("testdir/testfile", O_WRONLY|O_CREAT|O_EXCL|O_LARGEFILE, 0755) = 4
fstat64(4, {st_mode=S_IFREG|0755, st_size=0, ...}) = 0
read(3, ""..., 4096)                    = 0
llistxattr("testfile", (nil), 0)        = 0
llistxattr("testfile", 0xbf9810a0, 0)   = 0
close(4)                                = 0
close(3)                                = 0

a na proti tomu:

$ strace cp -p testfile  testdir/
[…]
open("testfile", O_RDONLY|O_LARGEFILE)  = 3
fstat64(3, {st_mode=S_IFREG|0755, st_size=0, ...}) = 0
open("testdir/testfile", O_WRONLY|O_CREAT|O_EXCL|O_LARGEFILE, 0700) = 4
fstat64(4, {st_mode=S_IFREG|0700, st_size=0, ...}) = 0
read(3, ""..., 4096)                    = 0
utimensat(4, NULL, {{1228989937, 0}, {1228989937, 0}}, 0) = 0
llistxattr("testfile", (nil), 0)        = 0
llistxattr("testfile", 0xbfe54d70, 0)   = 0
fgetxattr(3, "system.posix_acl_access", 0xbfe54ca0, 132) = -1 ENODATA (No data available)
fstat64(3, {st_mode=S_IFREG|0755, st_size=0, ...}) = 0
fsetxattr(4, "system.posix_acl_access", "\x02\x00\x00\x00\x01\x00\x07\x00\xff\xff\xff\xff\x04\x00\x05\x00\xff\xff\xff\xff \x00\x05\x00\xff\xff\xff\xff", 28, 0) = 0
close(4)                                = 0
close(3)                                = 0

[Michal Kubeček]

OK, omlouvám se, že jsem si to neověřil. Místo cp je tedy do mé odpovědi potřeba dosadit jiný program (ten, u kterého se popisovaný problém vyskytuje).

[Heron]

Dědění ACL tak, jak jej umí třeba Windows (změna práv rodičovském objektu způsobí změnu práv v podřízeném objektu), linux bohužel neumí.

Ad 2, k tomu slouží právě ta východí práva (defaul acl) pro adresář, což je popsáno v článku.

[Stanislav Brabec]

Částečně to řeší SUID/SGID bit na adresáře.

[Michal Kubeček]

SUID u adresářů (přinejmenším v Linuxu) žádný efekt nemá.

[Stanislav Brabec]

Ale SGID efekt má:

• Soubory a adresáře vytvořené uvnitř zdědí skupinu od adresáře
• SGID zdědí uvnitř vytvořené adresáře

Vše uvnitř bude mít tedy požadovanou skupinu. O práva k adresářům a souborům se nadále musí tvůrce postarat sám.

[Michal Kubeček]

O SGID v mém příspěvku nebyla řeč.

[op]

> Velmi mi chybí nastavování práv ala Novell Netware.

 

Novell Netware je nyni implementovany jako sada sluzeb pod Linuxem a pokud vim, tak netwarovy system pristupovych prav je tam k dispozici.  U Novellu vam  reknou, kolik to stoji a co budete potrebovat.

[Michal Kubeček]

Dodám jen pár drobností:

1. Při změně práv vlastníka nebo skupinového vlastníka se parametr nezadává ve tvaru u:práva, ale u::práva

2. Stejně jako tradiční práva, i ACL se vyhodnocují podle principu "rozhoduje první, co odpovídá", přičemž pořadí je vlastník, jednotliví uživatelé, skupinový vlastník, jednotlivé skupiny, ostatní.

3. Maska se neaplikuje na práva vlastníka, pouze na práva skupinového vlastníka a jednotlivých uživatelů a skupin.

[Heron]

Díky za doplnění.

[corwin78]

Pěkný a užitečný článek. Díky.

[Jirka]

Z toho nového fontu mě bolí oči. Prosím, proveďte obnovu kaskadových stylů ze zálohy.

[Michal Kubeček]

O jakém novém fontu to mluvíte?

[belisarivs]

Nastav si ve FF Dejavu Sans a mas pokoj.

[Robert Krátký]

Žádná změna stylů neproběhla. Stávající styl nijak neurčuje konkrétní písmo, pouze stanovuje "sans-serif". Je na každém uživateli, jaký font si nastaví v prohlížeči.

[kerny]

 A to je dobre, libi se mi kdyz se stranka zobrazuje pismem ktere mam rad.

[Glin]

Asi chybka:

[root@centos]# geftacl soubor

Ma byt IMHO:

[root@centos]# getfacl soubor

PS: ten wysiwig editor v kterym toto pisu mi moc nefunguje - nejde pastovat prostredtim tlacitkem (resp. jen nekdy, coz je jeste horsi nez kdyby vubec), protoze se dostanu do modu scrollovani. Dale jsem se dostal do situace, kdy jsem chtel vlozit znaky na urcite misto uprostred odstavce, najel jsem tam kurzorem (at mysi ci klavesnici), napsal pismeno, ale pismeno se vlozilo do prazdneho radky nad odstavcem, v kterem jsem byl.

[Heron]

Jasné, je to překlep, přepošlu info redakci.

[Robert Krátký]

Opraveno.

[Field]

Jako první krok dobrý, ale správu většího serveru bych s tím dělat nechtěl. Oč elegantnější řešení má třeba OpenVMS, kde můžete uživateli přidělit nejaký identifikátor - například "MANAGEMENT" - a poté přidělovat práva držitelům identifikátorů namísto konkrétních uživatelů:

(IDENTIFIER=MANAGEMENT,ACCESS=R+W+E+D)
(DEFAULT_PROTECTION,S:RWED,O:RWED,G,W)
(IDENTIFIER=MANAGEMENT,OPTIONS=DEFAULT,ACCESS=READ+WRITE+EXECUTE)
(CREATOR,ACCESS=READ+WRITE+EXECUTE+DELETE)

Takže admin pak pouze přiděluje identifikátory a spravuje uživatelské účty, zatímco nastavení práv ve filesystému se nemění. Identifikátory nejsou totéž co skupiny, uživatel jich může mít neomezené množství. Počet ACL záznamů na jednom objektu také není omezen.

Nemluvě ani o dalších možnostech jako například nastavit detailní logování přístupu do logu nebo jako alarm na terminálu operátora

(ALARM=SECURITY,ACCESS=DELETE+CONTROL+SUCCESS+FAILURE)

Implementace v linuxu mi přijde jako dobrý první krok (já vím, je to POSIX), ale pro skutečné použití na velkých serverech se stovkami či tisíci uživatelů stále poněkud neohrabaná.

[Filip Jirsák]

Identifikátory nejsou totéž co skupiny, uživatel jich může mít neomezené množství.

Jaký je tedy rozdíl mezi identifikátorem a skupinou? Uživatel snad může být také členem neomezeného množství skupin.

[Vskutečnosti Saýc]

Primo rozdil mezi identifikatorem a skupinou netusim, ale pokud vim, ma VMS prava jinak ohledne toho, kde a jak se povoluje smazat soubor, smazat jakykoli soubor v adresari, vytvorit soubor a tak.

Ale fakt je, ze lidi co casto nadavaji na unixova prava (nemyslim vas ani kolegu vyse, samozrejme) nemaji tuseni ze existuje nejake sgid nebo sticky. Ale ten VMS system je precejen sikovnejsi.

[Field]

identifikátory mohou mít přiřazeny ještě atributy, které jejich chování mění. Je to na delší vyprávění, tak si dovolím citovat z dokumentace:

¨

Dynamic attribute	Allows holders of the identifier to remove and to restore the identifier from the process rights list by using the DCL command SET RIGHTS_LIST.
Resource attribute	Allows holders of the identifier to charge disk space to the identifier. It is used for file objects.
Subsystem attribute	Allows holders of the identifier to create and maintain protected subsystems by assigning the Subsystem ACE to the application images in the subsystem.
No Access attribute	Makes any access rights of the identifier null and void. This attribute is intended as a modifier for a resource identifier or for purposes unrelated to access control.

Sites with high security requirements are likely to use two other attributes, which discourage users from scanning the rights database:

Holder Hidden attribute	Prevents someone from getting a list of users who hold an identifier unless that person owns the identifier.
Name Hidden attribute	Allows holders of an identifier to have it translated (either from binary to ASCII or vice versa), but prevents unauthorized users from translating the identifier.

 

Ale je fakt, že to už je vyšší dívčí a málokde se to používá, i když možná částečně i proto, že o tom administrátoři nevědí.

[petr_p]

Srovnávat VMS a POSIX dost dobře nelze.

Posixové skupiny mají spoustu ošklivých vlastností: Členství ve skupině je vlastnost procesu, nikoliv uživatele, takže přidávání a odebírání je nutné pojistit pozabíjením všech procesů. Dále pokud může uživatel vytvářet SGID soubory, je nutné po něm uklidit, jinak se může znovu do skupiny dostat.

Ale je pravda, že tohle nejsou ani tak problémy skupin, jako problémy posixové kontroly přístupu.

[Martin]

Dalsich par doplneni k pouziti ACL:
1/ upozorneni - pokud na soubor jednou pouziji acl, uz nikdy nepouzivat klasicky chmod ale jen setfacl
2/ dulezita je zaloha a obnova acl:

   getfacl -R --skip-base > backup.acl
   setfacl --restore backup.acl

3/ exisuji i acl managery, napr. http://rofi.roger-ferrer.org/eiciel/

[Heron]

Děkuji za doplnění.

K těm zálohám. Přijde mi vhodnější používat zálohovací nástroj, který acl zvládá. Při obnovení je všechno tak jak má být i bez dalších operací.

[Ladicek]

pokud na soubor jednou pouziji acl, uz nikdy nepouzivat klasicky chmod ale jen setfacl

OK. To zní dost závažně na to, aby si na to člověk začal dávat pozor. Ale zároveň dost bezobsažně na to, aby na to člověk za pět minut zapomněl. Takže prostá otázka: co se může stát, když ne?

[Heron]

Tak si to zkus .

chmod neovlivňuje acl záznamy, tj pokud přidáš třeba právo spouštění pomocí chmod a+x soubor, tak uživatelé, kteří již měli nastavená práva třeba na rw, jej stále nebudou moci spouštět (budou mít pořád rw).

[petr_p]

Ale to je přeci normální, že ACL mají přednost před mode.

[Heron]

Jistě, že ano. Pravda, mohl jsem do článku ještě zapracovat kompletní vyhodnocení práv.

[Michal Kubeček]

Spíš bych to formuloval tak, že koncept ACL je rozšířením tradičních přístupových práv. Nebo že tradiční model vlastník-skupina-ostatní je speciálním případem ACL.

[Ladicek]

Hmm, tak to mne netrápí Kdyby to byl nějaký nesmysl ve stylu chmod zruší všechna ACLka, tak to beru

[Michal Kubeček]

Ono se na to dá dívat tak, že to, co tradiční nástroje vidí jako práva vlastníka, skupinového vlastníka a ostatních, jsou ve skutečnosti položky typu ACL_USER_OBJ, ACL_GROUP_OBJ a ACL_OTHER v access control listu. Tyhle položky zobrazují a mění a zbytku si nevšímají.

[Ladicek]

Jasně. V tomhle světle mi varování pokud na soubor jednou pouziji acl, uz nikdy nepouzivat klasicky chmod ale jen setfacl přijde trochu nadnesené, proto jsem se taky ptal. Všem díky za potvrzení, že se vlastně není moc čeho bát

[Begleiter]

Děkuju za hezký a užitečný článek. Akorát tu masku nějak nechápu, ale to se poddá.

[Filip Jirsák]

Výchozí hodnota pro každé právo je, že není přiděleno – tj. daný uživatel či skupina to právo nemá. Pak se vyhodnotí nastavená maska a nastavená práva (pro uživatele, pro skupinu, pro ostatní), a pokud je příslušné právo nastaveno jak v masce tak v právech, je právo přiděleno, pokud buď v masce nebo v právech přiděleno není, není přiděleno ani na výstupu (mezi nastaveným právem a maskou se udělá logická operace AND). Pokud maska není zadána vůbec, vyhodnocují se jen práva (jako by maska byla rwxrwxrwx). Pokud jde o smysl masky, ten mi také uniká, protože podle mne každý, kdo má právo měnit ACL práva, má i právo měnit masku. Může to sloužit asi jako usnadnění – pokud vím, že soubor není spustitelný, nastavím mu masku rw-rw-rw-, a vím, že nepůjde omylem nastavit právo ke spuštění. Ale možná to má i nějakou jinou výhodu, která mi zůstala utajena.

[Begleiter]

Děkuju moc za vysvětlení.

[Begleiter]

setfacl: rotor: Operation not supported

Tohle mi to píše, když zadám příkaz setfacl -m user:kav:rx rotor (jedná se o adresář /home/rotor).

Postupoval jsem podle článku, mám ext3 a 64bitové Kubuntu Hardy Heron. Ten příkaz jsem zadal jako uživatel root. Verze setfacl je 2.2.45.

[Heron]

Zřejmně nemáte zapnutou podporu pro ACL ve filesystému.

Speciálně pro ext3 je ve článku zmíněn postup zapnutí. Buď přes tune2fs, nebo mount.

Zkuste mount "ten mountpoint" -o remount,acl.

Pokud to ani pak nepůjde, dejte sem výstup z tune2fs -l /dev/sdaX (oddíl, kde je ten filesystém na kterém to zkoušíte) a podíváme se na to.

[Begleiter]

Díky moc. mount "ten mountpoint" -o remount,acl pomohlo. Tu volbu "acl" musím přidat i do /etc/fstab, že?


[Heron]

Ano. Buď /etc/fstab nebo ji přidat k "Default mount options" pomocí tune2fs -o acl /dev/sdX. Osobně mám raději druhou metodu, protože je to pak v parametrech to systému souborů. Pokud by jednalo o přenosný disk, nemusí se na to při připojení jinde myslet.

[Begleiter]

Díky moc za pomoc.

[Marek Chlup]

ACL mi připadá opravdu težkopádné a složité na údržbu. Zejména zjišťování na co má ten či onen právo ve velmi košaté struktuře adresářů s mnoha soubory je k zbláznění.

Pro data sdílená uživateli bych nejraději viděl systém, kde se budou nastavovat práva jen na úrovni adresářů a bude zde existovat dědičnost.

[AlYoSHA]

Takto funguje AFS filesystem, ale to je sietovy FS.   viac na: www.openafs.org

[Ondar]

Zvláštní - podobný šlánek jsem se zrovna chystal napsat . Ovšem v trochu jiném duchu - autor napčíklad úplně zapoměl dodat, že popsaný model ACL nebyl nikdy POSIX ratifikován a je založen pouze na POSIX draftu. Taktéž s exportem souborových systémů využívajících tohoty typu ACL je to dosti problematické (NFSv2,3 toto třeba neřeší a ostatní síťové FS už vůbec).

Osobně si myslím, že daleko větší budoucnoust má v Linuxu standard ACL podle NFSv4.

[Heron]

Určitě jej můžeš napsat, bude to vhodné doplnění. Já se na to podíval z praktického pohledu na lokálním systému souborů. Nechtěl jsem jít moc do teorie a ani na síť.

[daan]

Vyborny clanok.

Len jedna vec..
Ak mam subor s opravnenim:

# file: soubor
# owner: ondra
# group: uzivatele
user::rw-
user:milos:rw-
group::r--
group:kamaradi:rw
mask::rw
other::---

ako by som realizoval zmazanie riadku user:milos:rw- v pripade, ze som si rozmyslel milosov pristup? :)

Napada mna jedine setfacl -m user:milos:---

Tym vsak len opravnenie prepisujem...
Ako ho zmazem?

[Heron]

Pomocí parametru -x:

setfacl -x user:milos soubor

[Gorgio]

Zdravím, mám problém s nastavením ACL a Samby na serveru. Distribuce Ubuntu 12.04. Aktualni samba a ACL balíčky. Teď k problému, přes sambu sdílím složku do pracovní skupiny pro windows clienty. Pomocí ACL jsem nastavil určitá dědení práv na sdílenou složku. Dědění funguje správně při vytváření nových složek či souborů z Windows (Exploreru). Bohužel při kopírování z windows se dědění práv ACL v linuxu naruší. Například se změní práva pro Others a OwnerGroup. Četl jsem různá fóra a diskuze, ale všude jsem se pouze dočetl o použití cp s přepínačem -p, což ve windows samozdřejmě použít nemohu a pomocí windows console xcopy se sice problém vyřeší, ale nemohu po clientech chtít použití příkazové řádkyy. Tak se chci zeptat, jestli je nějaká možnost jak zdědit ACL práva i při kopírování z windows. Popřípadě jestli mi můžete doporučit nějaký jiný efektivní způsob jak přidělovat práva pro sdílené složky pomocí samby. Bohužel si s obyčejným owner,group,other nevystačím, potřebuji nastavit práva pro více skupin. Práva pro dědení na složce data.

user::rwx
group::r-x
group:smb-family:r-x
group:smb-admins:rwx
mask::rwx
other::---
default:user::rwx
default:group::r-x
default:group:smb-family:r-x
default:group:smb-admins:rwx
default:mask::rwx
default:other::---

Práva nakopírované složky z windows do sdílené složky data.

user::rwx
group::rwx
group:smb-family:r-x
group:smb-admins:rwx
mask::rwx
other::-wx
default:user::rwx
default:group::r-x
default:group:smb-family:r-x
default:group:smb-admins:rwx
default:mask::rwx
default:other::---

[Adilkhatri]

검증된 파워볼사이트 를 찾으신다면 eos파워볼사이트 가 있는 파워볼사이트추천 에서 파워볼 을 즐기시길 바랍니다. 5년 이상 운영된 메이저업체 이며 지금까지 많은분들께 사랑받은 안전한파워볼사이트 입니다. 안전한파워볼사이트

[Adilkhatri]

Good to become visiting your weblog again, it has been months for me. Nicely this article that i've been waited for so long. I will need this post to total my assignment in the college, and it has exact same topic together with your write-up. Thanks, good share. 먹튀검증사이트