Protección de archivos UFS con ACL (mapa de tareas)

El siguiente mapa de tareas indica procedimientos que enumeran las ACL en un archivo UFS, cambian las ACL y copian las ACL en otro archivo.

Cómo comprobar si un archivo tiene una ACL

• Compruebe si un archivo tiene una ACL.

  % ls -l filename

  donde nombre_archivo especifica el archivo o directorio.

  En el resultado, un signo más (+) a la derecha del campo de modo indica que el archivo tiene una ACL.

  ---

  Nota - A menos que haya agregado entradas de ACL que amplíen los permisos de archivo UNIX, se considerará que un archivo tiene una ACL “trivial” y no se mostrará el signo más (+).

  ---

Ejemplo 6-6 Comprobación para determinar si un archivo tiene una ACL

En el ejemplo siguiente, el archivo ch1.sgm tiene una ACL. La ACL se indica con el signo más (+) a la derecha del campo de modo.

% ls -l ch1.sgm
-rwxr-----+  1 stacey   techpubs      167 Nov 11 11:13 ch1.sgm

Cómo agregar entradas de ACL a un archivo

1. Establezca una ACL en un archivo mediante el comando setfacl.

   % setfacl -s user::perms,group::perms,other:perms,mask:perms,acl-entry-list filename ...

   -s

   Establece una ACL en el archivo. Si un archivo ya tiene una ACL, se sustituye. Esta opción requiere, al menos, las entradas user::, group:: y other::.

   user::perms

   Especifica los permisos de propietario de archivo.

   group::perms

   Especifica los permisos de propiedad de grupo.

   other:perms

   Especifica los permisos para usuarios que no sean el propietario del archivo ni miembros del grupo.

   mask:perms

   Especifica los permisos para la máscara de la ACL. La máscara indica el número máximo de permisos que están permitidos para los usuarios (excepto el propietario) y para grupos.

   lista_entrada_acl

   Especifica la lista de una o más entradas de ACL para definir para usuarios y grupos específicos en el archivo o directorio. También puede definir entradas de ACL predeterminadas en un directorio. La Tabla 6-7 y la Tabla 6-8 muestran las entradas de ACL válidas.

   nombre_archivo ...

   Especifica uno o más archivos o directorios en los cuales se establecerá la ACL. Varios nombres de archivo (nombre_archivo) se separan con espacios.

   ---

   Precaución - Si una ACL ya existe en el archivo, la opción -s sustituye toda la ACL con la nueva ACL.

   ---

   Para obtener más información, consulte la página del comando man setfacl(1).

2. Verifique que las entradas de la ACL se hayan establecido en el archivo.

   % getfacl filename

   Para obtener más información, consulte Cómo comprobar si un archivo tiene una ACL.

Ejemplo 6-7 Definición de una ACL en un archivo

En el ejemplo siguiente, los permisos de propietario de archivo están establecidos en lectura y escritura, los permisos de grupo de archivos están establecidos en sólo lectura y otros permisos están establecidos en ninguno en el archivo ch1.sgm. Además, al usuario anusha se le conceden permisos de lectura y escritura en el archivo. Los permisos de máscara de ACL están establecidos en lectura y escritura, lo que significa que ningún usuario ni grupo pueden tener permisos de ejecución.

% setfacl -s user::rw-,group::r--,other:---,mask:rw-,user:anusha:rw- ch1.sgm
% ls -l
total 124
-rw-r-----+  1 stacey  techpubs   34816 Nov 11 14:16 ch1.sgm
-rw-r--r--   1 stacey  techpubs   20167 Nov 11 14:16 ch2.sgm
-rw-r--r--   1 stacey  techpubs    8192 Nov 11 14:16 notes
% getfacl ch1.sgm
# file: ch1.sgm
# owner: stacey
# group: techpubs
user::rw-
user:anusha:rw-    #effective:rw-
group::r--         #effective:r--
mask:rw-
other:---

En el ejemplo siguiente, los permisos de propietario de archivo están establecidos en lectura, escritura y ejecución, los permisos de grupo de archivos están establecidos en sólo lectura y otros permisos están establecidos en ninguno. Además, los permisos de máscara de la ACL están establecidos en lectura en el archivo ch2.sgm. Por último, al usuario anusha se le conceden permisos de lectura y escritura. Sin embargo, debido a la máscara de la ACL, los permisos para anusha son de sólo lectura.

% setfacl -s u::7,g::4,o:0,m:4,u:anusha:7 ch2.sgm
% getfacl ch2.sgm
# file: ch2.sgm
# owner: stacey
# group: techpubs
user::rwx
user:anusha:rwx         #effective:r--
group::r--              #effective:r--
mask:r--
other:---

Cómo copiar una ACL

• Copie la ACL de un archivo a otro archivo redirigiendo el resultado de getfacl.

  % getfacl filename1 | setfacl -f - filename2 

  nombre_archivo1

  Especifica el archivo desde el que se va a copiar la ACL.

  nombre_archivo2

  Especifica el archivo en el cual se establecerá la ACL copiada.

Ejemplo 6-8 Copia de una ACL

En el ejemplo siguiente, la ACL en ch2.sgm se copia a ch3.sgm.

% getfacl ch2.sgm | setfacl -f - ch3.sgm

Cómo cambiar entradas de ACL en un archivo

1. Modifique entradas de ACL en un archivo mediante el comando setfacl.

   % setfacl -m acl-entry-list filename ... 

   -m

   Modifica la entrada de ACL existente.

   lista_entrada_acl

   Especifica la lista de una o más entradas de ACL para modificar en el archivo o directorio. También puede modificar las entradas de ACL predeterminadas en un directorio. La Tabla 6-7 y la Tabla 6-8 muestran las entradas de ACL válidas.

   nombre_archivo ...

   Especifica uno o más archivos o directorios, separados por un espacio.

2. Verifique que las entradas de la ACL se hayan modificado en el archivo.

   % getfacl filename

Ejemplo 6-9 Modificación de entradas de ACL en un archivo

En el ejemplo siguiente, los permisos para el usuario anusha se modifican a lectura y escritura.

% setfacl -m user:anusha:6 ch3.sgm
% getfacl ch3.sgm
# file: ch3.sgm
# owner: stacey
# group: techpubs
user::rw-                
user::anusha:rw-        #effective:r--
group::r-               #effective:r--
mask:r--
other:r-

En el siguiente ejemplo, los permisos predeterminados para el grupo staff se modifican a lectura en el directorio book. Además, los permisos de máscara de ACL predeterminados se modifican a lectura y escritura.

% setfacl -m default:group:staff:4,default:mask:6 book

Cómo eliminar entradas de ACL de un archivo

1. Elimine entradas de ACL de un archivo.

   % setfacl -d acl-entry-list filename ... 

   -d

   Elimina las entradas de ACL especificadas.

   lista_entrada_acl

   Especifica la lista de entradas de ACL (sin especificar los permisos) para eliminar del archivo o directorio. Sólo puede eliminar las entradas de la ACL y las entradas de la ACL predeterminadas para usuarios y grupos específicos. La Tabla 6-7 y la Tabla 6-8 muestran las entradas de ACL válidas.

   nombre_archivo ...

   Especifica uno o más archivos o directorios, separados por un espacio.

   Como alternativa, puede utilizar el comando setfacl -s para eliminar todas las entradas de la ACL en un archivo y reemplazarlas con las nuevas entradas de la ACL que se han especificado.

2. Verifique que las entradas de la ACL se hayan eliminado del archivo.

   % getfacl filename

Ejemplo 6-10 Eliminación de entradas de ACL en un archivo

En el siguiente ejemplo, el usuario anusha se elimina del archivo ch4.sgm.

% setfacl -d user:anusha ch4.sgm

Cómo visualizar entradas de ACL de un archivo

• Visualice entradas de la ACL de un archivo mediante el comando getfacl.

  % getfacl [-a | -d] filename ...

  -a

  Muestra el nombre de archivo, el propietario de archivo, el grupo de archivos y las entradas de la ACL para el archivo o directorio especificado.

  -d

  Muestra el nombre de archivo, el propietario de archivo, el grupo de archivos y las entradas de la ACL predeterminadas, si existen, para el directorio especificado.

  nombre_archivo ...

  Especifica uno o más archivos o directorios, separados por un espacio.

  Si especifica varios nombres de archivo en la línea de comandos, las entradas de la ACL se muestran con una línea en blanco entre cada entrada.

Ejemplo 6-11 Visualización de entradas de ACL de un archivo

En el ejemplo siguiente, se muestran todas las entradas de la ACL para el archivo ch1.sgm. La nota #effective: junto a las entradas de usuario y grupo indica cuáles son los permisos después de ser modificados por la máscara de la ACL.

% getfacl ch1.sgm

# file: ch1.sgm
# owner: stacey
# group: techpubs
user::rw-
user:anusha:r-        #effective:r--
group::rw-            #effective:rw-
mask:rw-
other:---

En el ejemplo siguiente, se muestran las entradas de la ACL predeterminadas para el directorio book.

% getfacl -d book

# file: book
# owner: stacey
# group: techpubs
user::rwx
user:anusha:r-x       #effective:r-x
group::rwx            #effective:rwx
mask:rwx
other:---
default:user::rw-
default:user:anusha:r--
default:group::rw-
default:mask:rw-
default:other:---