Linux setfacl命令介绍
setfacl（set file access control lists）是用来设置文件或目录的访问控制列表（ACL）的命令。在传统的文件权限系统中，我们只能设置文件的所有者、所属组和其他用户的权限。通过ACL，我们可以为不同的用户或组设置不同的访问权限，这为系统管理员提供了更为精细的权限控制手段。
Linux setfacl命令适用的Linux版本
setfacl命令在大多数Linux发行版中都是可用的，包括Debian、Ubuntu、Alpine、Arch Linux、Kali Linux、RedHat/CentOS、Fedora、Raspbian等。但是，如果setfacl命令在某些系统中不可用，可能需要安装acl包。
对于基于Debian和Ubuntu的系统，安装命令如下：
[linux@bashcommandnotfound.cn ~]$ sudo apt-get install acl
对于RedHat/CentOS 7，使用yum安装：
[linux@bashcommandnotfound.cn ~]$ sudo yum install acl
而对于CentOS 8（或基于Fedora的系统），使用dnf安装：
[linux@bashcommandnotfound.cn ~]$ sudo dnf install acl
Linux setfacl命令的基本语法
语法格式：
setfacl [选项]... { -m|-x } acl规则 文件...
Linux setfacl命令的常用选项或参数说明
| 选项 | 描述 |
|---|---|
| -m | 添加或修改ACL规则 |
| -x | 删除指定的ACL规则 |
| -b | 删除所有的ACL条目 |
| -d | 操作默认的ACL |
| -R | 递归地设置ACL |
| -k | 删除默认的ACL |
| -L | 操作符号链接本身而不是它所指向的文件 |
| -P | 操作符号链接所指向的实际文件而不是链接本身 |
Linux setfacl命令实例详解
实例1：给用户赋予文件特定权限
通过以下命令，我们可以给用户名为user1的用户赋予文件example.txt的读权限：
[linux@bashcommandnotfound.cn ~]$ setfacl -m u:user1:r example.txt
实例2：给组赋予目录特定权限
以下命令可以给组名为group1的组赋予目录/data的读写权限：
[linux@bashcommandnotfound.cn ~]$ setfacl -m g:group1:rw /data
实例3：递归地给予目录权限
给/data目录及其子目录中的所有文件和目录赋予用户user1读写权限：
[linux@bashcommandnotfound.cn ~]$ setfacl -R -m u:user1:rw /data
实例4：删除用户特定权限
删除用户user1对example.txt文件的ACL规则：
[linux@bashcommandnotfound.cn ~]$ setfacl -x u:user1 example.txt
实例5：设置默认ACL
为/data目录设置一个默认ACL，使得未来在该目录下创建的所有文件都会自动赋予user1读权限：
[linux@bashcommandnotfound.cn ~]$ setfacl -m d:u:user1:r /data
实例6：为目录设置默认的ACL
为了限制在/data目录下创建的所有文件的权限，不允许它们拥有执行权限，可以如下设置：
setfacl -m d:u::rw,d:g::rw,d:o::r /data
这个命令创建了一个默认的ACL，意味着在/data下创建的所有文件和目录将自动继承这个ACL，确保没有执行权限。
实例7：复制一个文件的ACL到另一个文件
假设我们有两个文件file1.txt和file2.txt，我们想要将file1.txt的ACL复制到file2.txt：
getfacl file1.txt | setfacl --set-file=- file2.txt
这条命令首先使用getfacl获取file1.txt的当前ACL设置，然后通过管道命令传递给setfacl，使用--set-file=-（其中-代表标准输入）将这些ACL应用于file2.txt。
实例8：同时设置文件的ACL和默认ACL
如果要为目录/data设置读写权限，并希望新创建的文件和子目录也继承相同的权限，可以使用以下命令：
setfacl -m u:user1:rw,d:u:user1:rw /data
这里，ACL被设置为允许user1读写/data目录，并且所有在其下创建的新文件和目录也会赋予user1相同的读写权限。
实例9：使用命令行编辑ACL条目
要编辑example.txt的ACL，可以使用：
setfacl --edit example.txt
这会在默认文本编辑器中打开example.txt的ACL设置。可以直接在编辑器中添加或删除条目，然后保存退出。
实例10：注意文件系统类型
设想一个文件系统挂载点/data使用了ext4文件系统，我们需要确保在挂载时启用了ACL：
# 查看当前挂载点的挂载选项
mount | grep /data
如果没有显示acl选项，需要编辑/etc/fstab并添加该选项，然后重新挂载：
# 编辑 /etc/fstab 文件，在相关行添加 acl，例如：
/dev/sda1 /data ext4 defaults,acl 0 0
# 重新挂载 /data
mount -o remount /data
实例6：监控ACL变更
如果需要监控文件example.txt的ACL更改：
auditctl -w /path/to/example.txt -p wa -k acl_change
这个命令使用auditctl来添加一个监控规则，任何对example.txt的写入(w)或属性更改(a)都会被记录下来，且标记为acl_change。
Linux setfacl命令的注意事项
-
当使用
setfacl时，需要确保文件系统已经挂载了ACL支持。在/etc/fstab中可以通过添加acl选项来实现，例如：/dev/sda1 /data ext4 defaults,acl 0 0修改
/etc/fstab后，需要重新挂载文件系统或重启系统。 -
修改ACL可能会影响系统的安全性，因此应谨慎操作。在为用户或组分配权限时，确保它们是必要的，避免过度权限可能导致的安全风险。
-
如果遇到
bash: setfacl: command not found错误，请按照上面的指导进行安装。 -
在删除ACL规则时，要特别小心，因为一旦删除，将无法恢复。
-
使用
setfacl修改文件权限时，并不会改变文件的基本权限。如果需要完整的权限控制，请确保两者（基本权限和ACL）的设置是一致的。 -
使用ACL时，
ls -l命令输出的文件权限后会有一个+号，表示该文件或目录有额外的ACL设置。例如：
-rw-rw-r--+ 1 user1 group1 0 Jan 29 10:30 example.txt -
如果需要查看一个文件或目录的详细ACL信息，可以使用
getfacl命令。例如，查看
example.txt的ACL：[linux@bashcommandnotfound.cn ~]$ getfacl example.txt会显示类似以下的输出：
# file: example.txt # owner: user1 # group: group1 user::rw- user:user1:r-- group::r-- mask::rw- other::r-- -
在设置默认ACL时，这些将应用于目录中新创建的文件和子目录。已经存在的文件和目录不会被改变。
-
当使用
-R选项进行递归操作时，要非常小心，因为这会影响大量的文件和目录，可能会导致意想不到的权限变更。 -
如果需要对ACL进行备份和恢复，可以通过重定向
getfacl和setfacl的输出和输入来实现。备份ACL：
[linux@bashcommandnotfound.cn ~]$ getfacl -R /data > backup.acl恢复ACL：
[linux@bashcommandnotfound.cn ~]$ setfacl --restore=backup.acl
使用ACL提供了比传统权限更细粒度的控制，它允许你为单个用户和组设置权限，而不仅仅是文件的所有者、所属组和其他用户。这在多用户环境中特别有用，可以确保只有授权的用户才能访问特定的文件和目录。
评论区