Dotaz: Proč fungují ACL bez příznaku acl v /etc/fstab

[Dramon]

Zdravím.

Netuší někdo z přítomných, proč mi v CentOSu 5 i 6 fungují příkazy getfacl a setfacl a přitom nemám v /etc/fstab ani u jednoho mount pointu příznak "acl" ??

---

---

Odpovědi

[otula]

Třeba proto, že používáš filesystem, který používá acl defaultně (pokud se nemýlím, tak například xfs nepotřebuje ve fstab informaci k tomu, že má acl použít)

[Dramon]

Zapoměl jsem uvést informaci o FS :((
Takže ext3
Každopádně bych dle manuálové stránky čekal, že tam ACL defaultní nebudou

[otula]

No jo, zkusil jsem to teď u sebe na ext4, a funguje mi to také (bez acl parametru). Zajímavé, naštěstí to ale ničemu nevadí.

[Michal Kubeček]

Neřekl bych, že to ničemu nevadí. Pokud by ACL fungovaly i v situaci, kdy nemají, může to znamenat, že uživatel bude mít právo číst něco, co by neměl (nebo dokonce zapisovat, kam nemá). Viděl jsem už podstatně banálnější problémy, které dostaly CVE id.

Na druhou stranu, tazatel pouze tvrdil, že mu fungují příkazy getfacl a setfacl, což ještě automaticky neznamená, že fungují ACL.

[otula]

Neřekl bych, že to ničemu nevadí.

Tak doufám, že teď nejsem v hlubokém omylu, když předpokládám, že v případě používání pouze standardních unixových oprávnění nikdy nenastane situace, že by ACL oprávnění povolila něco jiného. Vezmu náhodný soubor:

[ota@o-nb ~]$ getfacl pismo-gimp.png 
# file: pismo-gimp.png
# owner: ota
# group: ota
user::rw-
group::r--
other::---

[ota@o-nb ~]$ ls -l pismo-gimp.png 
-rw-r----- 1 ota ota 7574  5. říj 18.50 pismo-gimp.png

Samozřejmě, pokud by někdo zákeřně změnil ACL oprávnění, nemusí si toho nikdo všimnout a oprávnění mohou být jiná, než se na první pohled jeví. Anebo je to jinak?

Na druhou stranu, tazatel pouze tvrdil, že mu fungují příkazy getfacl a setfacl, což ještě automaticky neznamená, že fungují ACL.

To mne také napadlo, takže jsem to i otestoval. ACL fungují.

[Michal Kubeček]

Pokud budu práva nastavovat pouze pomocí tradičních pre-ACL příkazů, tak je jedno, jestli jsou ACL aktivní nebo ne. Ale pokud budu mít filesystém, na kterém už dříve někdo nastavil nějakému souboru i jiné než tradiční owner-group-other položky, a budu předpokládat, že je-li filesystém namountovaný s noacl, stačí se dívat na ty klasické trojice, pak by to mohl být problém.

To mne také napadlo, takže jsem to i otestoval. ACL fungují.

Co u toho filesystému ukazuje příkaz mount (nebo /proc/mounts)?

[otula]

Na /proc/mounts jsem se právě díval nezávisle na tvé otázce, abych z toho byl ještě více zmaten:

/dev/sda4 /home ext4 rw,noatime,nodiratime,user_xattr,barrier=1,data=ordered 0 0

[Michal Kubeček]

Tak to je divné, mně se implicitní acl zobrazuje v /proc/mounts i ve výstupu příkazu mount. Ale zkoušel jsem to s ext3, možná je to u ext4 jinak.

[Michal Kubeček]

Tak u ext4 se mi také nevypisuje, ale naopak se tam vypisuje noacl, pokud ho s ním přimountuji. Skoro to vypadá, jako by u ext4 byl obráceně default.

[Michal Kubeček]

A tak to také je, jen by to asi mělo být zmíněno v mount(8). Dokonce jestli jsem viděl dobře (procházel jsem ten kód jen zběžně a nikdy předtím jsem si ho neprohlížel, je v novějších jádrech u ext4 option noacl označen jako deprecated.

[otula]

Divné to je, naštěstí mne to - narozdíl od Dramona - netrápí :)

[Sten]

Pokud by to bylo s noacl, pak souhlasím. Tady ale jde o situaci, kdy není uvedeno nic.

[otula]

Zkuste 'dumpe2fs -h ...' a zkontrolujte položku "Default mount options". Pokud tam je "acl", bude příslušný filesystém defaultně mountován s option acl, pokud explicitně nepoužijete "noacl".

[otula]

Nevím jak tazatel, ale já acl skutečně v default options mám, a to v rozporu s dokumentací

[Michal Kubeček]

Neřekl bych, že je to v rozporu s dokumentací - nebo aspoň ne s tou, na kterou odkazujete. Default mount options se nastavily s největší pravděpodobností při vytváření filesystému (obvykle na základě /etc/mke2fs.conf) a pokud v nich acl je, pak je správné, že se použije, není-li při mountu explicitně uvedeno noacl.

[otula]

Jo, tak to je vlastně možné. Nejsem si totiž jistý, zda jsem u tohoto notebooku formátoval oddíly sám přes mkfs, nebo jsem to dělal (dnes již neexistujícím) instalátorem Archu.

Ten rozpor s dokumentací jsem myslel tak, že je tam uvedeno

When mounting an ext4 filesystem, the following option are accepted: (*) == default

přičemž u acl onen asterisk není.

[Michal Kubeček]

To je ale takový "ještě defaultnější default" - ten, který se použije, pokud není uvedeno acl/noacl ani v parametrech příkazu mount ani v hlavičce filesystému (kde to lze nastavit např. pomocí mke2fs nebo tune2fs).

[otula]

Díky za vysvětlení. A snad to pomůže i autorovi dotazu.

[none]

Zadne tajemstvi, nebo nesoulad s dokumentaci - defaultne nastavuje ACLka Anakonda pri instalaci systemu panove...

[Dramon]

Děkuji všem za odpovědi, jsem zase o něco chytřejší. :)