Utilisation des ACL pour protéger les fichiers UFS

Les protections de fichier UNIX conventionnelles fournissent des autorisations de lecture, d'écriture et d'exécution pour les trois classes d'utilisateur : propriétaire de fichier, groupe de fichier et autre. Dans un système de fichiers UFS, une liste de contrôle d'accès (ACL) offre une meilleure sécurité des fichiers en permettant d'effectuer les opérations suivantes :

définir les autorisations de fichier pour le propriétaire du fichier, le groupe, les autres, ainsi que des utilisateurs et des groupes spécifiques ;
définir les autorisations par défaut pour chacune des catégories précédentes.

Remarque - Pour les ACL dans le système de fichiers ZFS et les ACL sur les fichiers NFSv4, reportez-vous au Chapitre 8, Utilisation des ACL et des attributs pour protéger les fichiers Oracle Solaris ZFS du Guide d’administration Oracle Solaris ZFS.

Par exemple, si vous souhaitez que tous les membres d'un groupe soient en mesure de lire un fichier, vous pouvez simplement accorder des autorisations de lecture de groupe sur ce fichier. Maintenant, supposons que vous souhaitez que seule une personne dans le groupe soit en mesure d'écrire dans ce fichier. UNIX standard ne fournit pas ce niveau de sécurité des fichiers. Toutefois, une ACL fournit ce niveau de sécurité.

Sur un système de fichiers UFS, les entrées d'ACL sont définies dans un fichier par le biais de la commande setfacl. Les entrées d'ACL UFS se composent des champs suivants séparés par le signe deux-points :

entry-type:[uid|gid]:perms

entry-type: Type d'entrée d'ACL sur laquelle définir les autorisations de fichiers. Par exemple, entry-type peut être user (le propriétaire d'un fichier) ou mask (le masque ACL). Pour obtenir la liste des entrées d'ACL, reportez-vous au Tableau 6-7 et au Tableau 6-8.
uid: Nom d'utilisateur ou ID d'utilisateur (UID).
gid: Nom du groupe ou ID de groupe (GID).
perms: Représente les autorisations définies sur entry-type. perms peut être indiqué par les caractères symboliques rwx ou un nombre octal. Il s'agit des mêmes nombres que ceux utilisés avec la commande chmod.

Dans l'exemple suivant, une entrée d'ACL définit les autorisations de lecture et d'écriture pour l'utilisateur stacey.

user:stacey:rw-

Attention - Les attributs de système de fichiers UFS tels que les ACL sont pris en charge dans les systèmes de fichiers UFS uniquement. Par conséquent, si vous restaurez ou copiez des fichiers avec des entrées d'ACL dans le répertoire /tmp, qui est généralement monté en tant que système de fichiers TMPFS, les entrées d'ACL seront perdues. Utilisez le répertoire /var/tmp pour le stockage temporaire des fichiers UFS.

Entrées d'ACL pour les fichiers UFS

Le tableau suivant répertorie les entrées d'ACL valides que vous pouvez être amené à utiliser lors de la définition d'ACL sur des fichiers. Les trois premières entrées d'ACL assurent la protection de fichiers UNIX de base.

Tableau 6-7 Entrées d'ACL pour les fichiers UFS

Entrée d'ACL	Description
`u[ser]::perms`	Autorisations du propriétaire du fichier.
`g[roup]::perms`	Autorisations du groupe de fichiers.
`o[ther]:perms`	Autorisations pour les utilisateurs autres que le propriétaire du fichier ou des membres du groupe de fichiers.
`m[ask]:perms`	Masque d'ACL. L'entrée de masque indique les autorisations maximales accordées aux utilisateurs (autres que le propriétaire) et aux groupes. Le masque est un moyen rapide de changer les autorisations pour tous les utilisateurs et groupes. Par exemple, l'entrée de masque `mask:r--` indique que les utilisateurs et groupes ne peuvent pas avoir plus que l'autorisation de lecture, même si leurs comptes indiquent qu'ils disposent d'autorisations d'écriture et d'exécution.
`u[ser]:uid:perms`	Autorisations pour un utilisateur spécifique. Pour `uid`, vous pouvez spécifier un nom d'utilisateur ou un ID d'utilisateur (UID) numérique.
`g[roup]:gid:perms`	Autorisations pour un groupe spécifique. Pour `gid`, vous pouvez spécifier un nom de groupe ou un ID de groupe (GID) numérique.

Entrées d'ACL pour les répertoires UFS

Outre les entrées d'ACL décrites dans le Tableau 6-7, vous pouvez définir les entrées d'ACL par défaut dans un répertoire. Les fichiers ou répertoires créés dans un répertoire doté d'entrées d'ACL par défaut auront les mêmes entrées d'ACL que les entrées d'ACL par défaut. Le Tableau 6-8 répertorie les entrées d'ACL par défaut pour les répertoires.

Lorsque vous définissez pour la première fois les entrées d'ACL par défaut pour des utilisateurs et des groupes spécifiques sur un répertoire, vous devez également définir les valeurs par défaut des entrées d'ACL pour le propriétaire du fichier, le groupe de fichiers, les autres et le masque d'ACL. Ces entrées sont obligatoires. Ils s'agit des quatre premières entrées d'ACL par défaut dans le tableau ci-dessous.

Tableau 6-8 Entrées d'ACL par défaut pour les répertoires UFS

Entrée d'ACL par défaut	Description
`d[efault]:u[ser]::perms`	Autorisations du propriétaire du fichier par défaut.
`d[efault]:g[roup]::perms`	Autorisations du groupe de fichiers par défaut.
`d[efault]:o[ther]:perms`	Autorisations par défaut pour les utilisateurs autres que le propriétaire du fichier ou les membres du groupe de fichiers.
`d[efault]:m[ask]:perms`	Masque par défaut de l'ACL.
`d[efault]:u[ser]:uid:perms`	Autorisations par défaut pour un utilisateur spécifique. Pour `uid`, vous pouvez spécifier un nom d'utilisateur ou un ID d'utilisateur (UID) numérique.
`d[efault]:g[roup]:gid:perms`	Autorisations par défaut pour un groupe spécifique. Pour `gid`, vous pouvez spécifier un nom de groupe ou un ID de groupe (GID) numérique.

Commandes pour l'administration des ACL d'UFS

Les commandes ci-dessous administrent les ACL sur les fichiers ou les répertoires UFS.

Commande setfacl: Définit, ajoute, modifie et supprime les entrées d'ACL. Pour plus d'informations, reportez-vous à la page de manuel setfacl(1).
Commande getfacl: Affiche les entrées d'ACL. Pour plus d'informations, reportez-vous à la page de manuel getfacl(1).

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : Services de sécurité