Schützen von UFS-Dateien mithilfe von Zugriffssteuerungslisten

Traditioneller UNIX-Dateischutz bietet Lese-, Schreib- und Ausführungsberechtigungen für drei Benutzerklassen: Dateieigentümer, Dateigruppe und andere Benutzer. In einem UFS-Dateisystem erhöht eine Zugriffssteuerungsliste (Access Control List, ACL) die Dateisicherheit, da sie Folgendes ermöglicht:

Definieren von Dateiberechtigungen für den Dateieigentümer, die Gruppe oder andere Benutzer, bestimmte Benutzer oder Gruppen
Definieren von Standardberechtigungen für jede der oben stehenden Kategorien

Hinweis - Informationen zu ACLs im ZFS-Dateisystem und ACLs für NFSv4-Dateien finden Sie in Kapitel 8, Schützen von Oracle Solaris ZFS-Dateien mit Zugriffssteuerungslisten und Attributen in Oracle Solaris ZFS-Administrationshandbuch.

Damit beispielsweise alle Mitglieder einer Gruppe eine Datei lesen können, erteilen Sie einfach der gesamten Gruppe die Leseberechtigung für diese Datei. Nehmen Sie an, dass nur eine Person in der Gruppe über eine Schreibberechtigung für die Datei verfügen soll. Bei standardmäßigem UNIX ist diese Ebene der Dateisicherheit nicht möglich, bei einer ACL dagegen schon.

In einem UFS-Dateisystem werden ACL-Einträge für eine Datei mit dem Befehl setfacl eingestellt. UFS-ACL-Einträge bestehen aus den folgenden Feldern, die durch Doppelpunkte getrennt sind:

entry-type:[uid|gid]:perms

entry-type: Entspricht dem Typ des ACL-Eintrags für den Dateiberechtigungen eingestellt werden sollen. Beispielsweise kann entry-type ein user (der Eigentümer einer Datei) oder mask (die ACL-Maske) sein. Eine Liste der ACL-Einträge finden Sie in Tabelle 6-7 und Tabelle 6-8.
uid: Entspricht dem Benutzernamen oder der Benutzer-ID (UID)
gid: Entspricht dem Gruppennamen oder der Gruppen-ID (GID)
perms: Entspricht den für entry-type eingestellten Berechtigungen Im Feld perms können die symbolischen Zeichen rwx oder eine Oktalzahl angegeben werden. Dies sind die gleichen Zahlen, die für den Befehl chmod verwendet werden.

In dem folgenden Beispiel gewährt ein ACL-Eintrag dem Benutzer stacey Lese- und Schreibberechtigungen.

user:stacey:rw-

Achtung - UFS-Dateisystemattribute wie ACLs werden nur in UFS-Dateisystemen unterstützt. Wenn Sie daher das Verzeichnis /tmp, das normalerweise als TMPFS-Dateisystem eingehängt ist, als Zielverzeichnis bei einer Wiederherstellung oder einem Kopiervorgang verwenden, gehen die ACL-Einträge verloren. Verwenden Sie das Verzeichnis /var/tmp, um UFS-Dateien vorübergehend zu speichern.

ACL-Einträge für UFS-Dateien

In der folgenden Tabelle werden die gültigen ACL-Einträge aufgeführt, die Sie beim Einstellen von ACLs für Dateien verwenden können. Die drei ersten ACL-Einträge bieten den grundlegenden UNIX-Dateischutz.

Tabelle 6-7 ACL-Einträge für UFS-Dateien

ACL-Eintrag	Description (Beschreibung)
`u[ser]::perms`	Dateieigentümer-Berechtigungen
`g[roup]::perms`	Dateigruppen-Berechtigungen
`o[ther]:perms`	Berechtigungen für andere Benutzer als den Dateieigentümer oder die Mitglieder der Dateigruppe
`m[ask]:perms`	ACL-Maske. Der Maskeneintrag gibt die maximalen Berechtigungen an, die für Benutzer (andere als der Eigentümer) und für Gruppen gewährt werden können. Die Maske ist eine Möglichkeit zum schnellen Ändern von Berechtigungen für alle Benutzer und Gruppen. Der Eintrag `mask:r--` gibt beispielsweise an, dass Benutzer und Gruppen nur über Leseberechtigungen verfügen dürfen, auch wenn in ihren Konten Schreib- und Ausführungsberechtigungen angegeben sind.
`u[ser]:uid:perms`	Berechtigungen für einen bestimmten Benutzer. Für `uid` können Sie entweder einen Benutzernamen oder eine numerische UID angeben.
`g[roup]:gid:perms`	Berechtigungen für eine bestimmte Gruppe. Für `gid` können Sie entweder einen Gruppennamen oder eine numerische GID angeben.

ACL-Einträge für UFS-Verzeichnisse

Zusätzlich zu den in Tabelle 6-7 beschriebenen ACL-Einträgen können Sie Standard-ACL-Einträge für ein Verzeichnis einstellen. Dateien oder Verzeichnisse, die in einem Verzeichnis mit Standard-ACL-Einträgen erstellt werden, weisen die gleichen ACL-Einträge wie die Standard-ACL-Einträge auf. In Tabelle 6-8 werden die Standard-ACL-Einträge für Verzeichnisse aufgeführt.

Wenn Sie die Standard-ACL-Einträge für bestimmte Benutzer und Gruppen in einem Verzeichnis zum ersten Mal einstellen, müssen Sie auch die Standard-ACL-Einträge für den Dateieigentümer, die Dateigruppen, andere Benutzer und die ACL-Maske angeben. Diese Einträge sind obligatorisch. Es handelt sich um die ersten vier Standard-ACL-Einträge in der folgenden Tabelle.

Tabelle 6-8 Standard-ACL-Einträge für UFS-Verzeichnisse

Standard-ACL-Eintrag	Description (Beschreibung)
`d[efault]:u[ser]::perms`	Standardmäßige Dateieigentümer-Berechtigungen
`d[efault]:g[roup]::perms`	Standardmäßige Dateigruppen-Berechtigungen
`d[efault]:o[ther]:perms`	Standardberechtigungen für andere Benutzer als den Dateieigentümer oder die Mitglieder der Dateigruppe
`d[efault]:m[ask]:perms`	Standard-ACL-Maske
`d[efault]:u[ser]:uid:perms`	Standardberechtigungen für einen bestimmten Benutzer. Für `uid` können Sie entweder einen Benutzernamen oder eine numerische UID angeben.
`d[efault]:g[roup]:gid:perms`	Standardberechtigungen für eine bestimmte Gruppe. Für `gid` können Sie entweder einen Gruppennamen oder eine numerische GID angeben.

Befehle zum Verwalten von UFS-ACLs

Mit den folgenden Befehlen können ACLs für UFS-Dateien oder -Verzeichnisse verwaltet werden.

Befehl setfacl: Dient zum Festlegen, Hinzufügen und Löschen von ACL-Einträgen. Weitere Informationen finden Sie auf der Manpage setfacl(1).
Befehl getfacl: Dient zum Anzeigen von ACL-Einträgen. Weitere Informationen finden Sie auf der Manpage getfacl(1).

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices