ACL によるアクセスコントロール2022/01/13 |
|
ACL (Access Control Lists) の設定です。
ファイル/ディレクトリに対する [所有者/グループ/第三者] と [読み取り/書き込み/実行] のアクセスコントロールをより細かく設定可能です。 |
|
| [1] | ACL パッケージは OS の最小構成に含まれているため、追加パッケージのインストールは不要ですが、 もしインストールされていない場合は、事前にインストールします。 |
|
[root@dlp ~]# dnf -y install acl
|
| [2] |
CentOS Stream 9 のデフォルトファイルシステムである [xfs] を利用している場合は、ACL を利用するための事前設定は不要です。
RHEL 6/CentOS 6 以前のデフォルトである [ext4] を利用している場合は、ACL を利用するための設定が必要です。 こちらの [2], [3] を参考に、必要に応じて事前に設定をしてください。 |
| [3] | ACL の設定です。 例として、[/home/test.txt] を所有者 [root] のアクセス権 [700] で作成し、そのファイルに ACL を設定します。 |
|
[root@dlp ~]# ll /home/test.txt -rw-------. 1 root root 10 Jan 13 10:50 /home/test.txt # ACL を設定するとアクセス権の右に以下のように [+] が付加される [root@dlp ~]# ll /home/test.txt -rw-r-----+ 1 root root 10 Jan 13 10:50 /home/test.txt # ACL を表示して設定確認 [root@dlp ~]# getfacl /home/test.txt getfacl: Removing leading '/' from absolute path names # file: home/test.txt # owner: root # group: root user::rw- user:cent:r-- group::--- mask::r-- other::--- # 他ユーザーで確認 [redhat@dlp ~]$ cat /home/test.txt cat: /home/test.txt: Permission denied # 正常に表示不可
|
| [4] | あるディレクトリ配下全てに再帰的に ACL を設定する。 |
|
[root@dlp ~]# ll -d /home/testdir drwx------. 2 root root 6 Jan 13 10:53 /home/testdir # [/home/testdir] ディレクトリに対してユーザー [cent] に r(read) を再帰的に許可 [root@dlp ~]# setfacl -R -m u:cent:r /home/testdir
ll /home/testdir total 4 -rw-r-----+ 1 root root 14 Jan 13 10:54 testfile.txt[root@dlp ~]# getfacl -R /home/testdir getfacl: Removing leading '/' from absolute path names # file: home/testdir # owner: root # group: root user::rwx user:cent:r-- group::--- mask::r-- other::--- # file: home/testdir/testfile.txt # owner: root # group: root user::rw- user:cent:r-- group::r-- mask::r-- other::--- |
| [5] | グループ単位で ACL を設定する。 |
|
# [/home/testfile.txt] に対して、グループ [security] に rw(read/write) を許可 [root@dlp ~]# setfacl -m g:security:rw /home/testfile.txt [root@dlp ~]# getfacl /home/testfile.txt getfacl: Removing leading '/' from absolute path names # file: home/testfile.txt # owner: root # group: root user::rw- group::r-- group:security:rw- mask::rw- other::--- # [security] グループ所属の [cent] ユーザーで確認 [cent@dlp ~]$ echo "test write" >> /home/testfile.txt [cent@dlp ~]$ cat /home/testfile.txt ACL test file test write # 正常に書き込めた
# [security] グループに属さない他ユーザーで確認 [redhat@dlp ~]$ echo "test write" >> /home/testfile.txt -bash: /home/test.txt: Permission denied # 正常に書き込めない
|
| [6] | ACL 設定を削除する。 |
|
# [/home/testfile.txt] に付与されている [cent] ユーザーの ACL のみ削除 [root@dlp ~]# setfacl -x u:cent /home/testfile.txt
|
| [7] | あるディレクトリに対してデフォルトの ACL を設定する。 デフォルト ACL が設定されたディレクトリ配下にファイル/ディレクトリを作成すると、デフォルト ACL が継承される。 ( デフォルト設定のみでなく、対象ディレクトリに対して個別の許可設定もしておく必要がある ) ただし、新規作成ファイルにはデフォルトで ACL が付与されるが、それらのファイルに後から chmod でアクセス権を変更すると ACL 設定はクリアされるため、注意が必要。 |
|
[root@dlp ~]#
setfacl -m u:cent:r-x /home/testdir
# [/home/testdir] ディレクトリに対して [cent] に r-x(read/execute) を許可するデフォルト ACL [root@dlp ~]# setfacl -d -m u:cent:r-x /home/testdir [root@dlp ~]# getfacl /home/testdir getfacl: Removing leading '/' from absolute path names # file: home/testdir # owner: root # group: root user::rwx user:cent:r-x group::--- mask::r-x other::--- default:user::rwx default:user:cent:r-x default:group::--- default:mask::r-x default:other::---[root@dlp ~]# echo "ACL default setting" > /home/testdir/test.txt [root@dlp ~]# ll /home/testdir/test.txt -rw-r-----+ 1 root root 20 Jan 13 11:01 /home/testdir/test.txt # [cent] ユーザーで確認 [cent@dlp ~]$ cat /home/testdir/test.txt ACL default setting # 正常に読めた
|
| [8] | デフォルト ACL を削除する。 |
|
[root@dlp ~]# setfacl -k /home/testdir [root@dlp ~]# getfacl /home/testdir getfacl: Removing leading '/' from absolute path names # file: home/testdir # owner: root # group: root user::rwx user:cent:r-x group::--- mask::r-x other::--- |
| [9] | ファイルから ACL を読み込み設定する。 |
|
# ACL 設定ファイルを作成 ( 書式は [getfacl] の出力結果と同じ ) # 設定したい ACL が他システムにあるならば [getfacl] の結果をリダイレクトでファイルに出力しそのまま利用することも可能
[root@dlp ~]#
vi acl.txt # file: /home/testdir # owner: root # group: root user::rwx user:cent:r-x group::--- mask::r-x other::--- # file: /home/test.txt # owner: root # group: root user::rwx user:cent:r-- group::--- mask::r-- other::--- setfacl --restore=acl.txt [root@dlp ~]# ll /home total 8 drwx------. 2 cent cent 83 Jan 13 10:52 cent drwxr-xr-x. 3 root root 57 Jan 13 09:52 nfsshare drwx------. 2 redhat redhat 83 Jan 13 10:52 redhat drwxr-x---+ 2 root root 42 Jan 13 11:01 testdir -rw-rw----+ 1 root root 21 Jan 13 10:59 testfile.txt -rwxr-----+ 1 root root 10 Jan 13 10:50 test.txt |
| Sponsored Link |