Para un usuario medio de GNU/Linux e incluso para la mayoría de usuarios avanzados, las posibilidades que nos ofrecen el sistema de permisos y propietario estándar es más que suficiente. No obstante, conviene conocer el sistema de listas de control de acceso, conocido comúnmente como ACL (Access Control List) que nos permite extender estos permisos a nivel de ficheros y directorios.
Estas ACL permiten definir permisos concretos para un determinado usuario o grupo en ficheros y directorios, además, se asignan igual que los permisos estándar, con formato octal o simbólico (rwx). Básicamente, en caso de tener un fichero o directorio con unos permisos concretos determinados para su propietario y grupo, nos permite añadir usuarios o grupos extra con unos permisos completamente independientes a los definidos con los permisos estándar.
Activar ACL en el sistema de ficheros
Verificamos con el comando tune2fs si el sistema de ficheros sobre el que queremos tener ACL tiene activado ACL:
# tune2fs -l /dev/mapper/VolGroup00-LogVol00 | grep acl Default mount options: user_xattr acl
En caso de no aparecer la opción, tendríamos que remontar el filesystem añadiendo la flag, para hacerlo persistente habría que añadirla en el /etc/fstab.
[root@cluster01 ~]# mount -o remount,acl / # mount /dev/mapper/VolGroup00-LogVol00 on / type ext3 (rw,acl)
Ver y cambiar las ACL en ficheros/directorios
Para listar los permisos genéricos de un fichero o directorio y las ACL utilizamos el comando getfacl
# getfacl prueba.tmp # file: prueba.tmp # owner: root # group: root user::rw- group::r-- other::r--
El fichero prueba.tmp no tiene ACL establecidas, sólo vemos los permisos estándar. Para comenzar a añadir permisos de ACL utilizamos el comando setfacl. En la página man encontramos información relativa a la sintaxis y formato para el cambio de permisos en usuarios y grupos, máscara y otros:
[d[efault]:] [u[ser]:]uid [:perms]
Permissions of a named user. Permissions of the file owner if uid is empty.
[d[efault]:] g[roup]:gid [:perms]
Permissions of a named group. Permissions of the owning group if gid is empty.
[d[efault]:] m[ask][:] [:perms]
Effective rights mask
[d[efault]:] o[ther][:] [:perms]
Permissions of others.
Vamos a ver algún ejemplo. En este primer caso vamos a asignar permiso total (777) al usuario foo contra el fichero anterior, del cual es propietario root.
# setfacl -m u:foo:7 prueba.tmp
Y ahí lo tenemos, con sus permisos especiales asignados con ACL:
# getfacl prueba.tmp # file: prueba.tmp # owner: root # group: root user::rw- user:foo:rwx group::r-- mask::rwx other::r--
También los podemos asignar con notación simbólica en lugar de octal, vamos a cambiarlo a únicamente lectura para foo:
# setfacl -m u:foo:r prueba.tmp # getfacl prueba.tmp # file: prueba.tmp # owner: root # group: root user::rw- user:foo:r-- group::r-- mask::r-- other::r--
Si nos fijamos, al listar el fichero con un ls vemos que ha aparecido un ‘+’ indicando que hay ACLs asignadas:
# ll prueba.tmp -rw-r--r--+ 1 root root 0 Sep 28 17:32 prueba.tmp
Si con el parámetro ‘-m’ cambiabamos las ACL, con ‘-x’ las borramos para un usuario concreto, y con ‘-b’ para todas las asignadas al fichero:
# setfacl -x u:foo prueba.tmp # setfacl -b prueba.tmp
A la hora de asignar ACL para directorios, resulta interesante poder asignar unas ACL por defecto para todas aquellos subdirectorios que se vayan creando, así como los ficheros que contenga y se vayan metiendo. Vamos a asignar permiso total al usuario foo para el directorio prueba, es prácticamente igual que con ficheros pero añadiendo la ‘d’ de default:
# setfacl -m d:u:foo:rwx testdir
Nota: Sólo a los directorios se les puede añadir ACLs por defecto, si lo hacéis en ficheros:
# setfacl -m d:u:foo:rwx test setfacl: /root/test: Only directories can have default ACLs
Si revisamos las ACL del directorio vemos asignados todos los default, podríamos también cambiarlo para el propietario, el grupo y ‘otros’ además de para los nuevos usuarios que añadamos vía ACL:
# getfacl testdir/ # file: testdir # owner: root # group: root user::rwx group::r-x other::r-x default:user::rwx default:user:foo:rwx default:group::r-x default:mask::rwx default:other::r-x
Espero que esta introducción a las ACL en GNU/Linux os haya sido de utilidad, es un mundo poco explorado pero lleno de posibilidades.