Linux：目录和文件的权限管理二

# 查看 mysql安装目录的 ACL权限
[root@localhost /]# getfacl /opt/mysql-8.0.26-el7-x86_64/
getfacl: Removing leading '/' from absolute path names
# file: opt/mysql-8.0.26-el7-x86_64/
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

# 查看 test001.log文件的 ACL权限
[root@localhost /]# getfacl /home/test001.log 
getfacl: Removing leading '/' from absolute path names# file: home/test001.log
# owner: weixiangxiang
# group: mysql
user::rw-
group::r--
other::r--

[root@localhost /]# 

[root@localhost /]# setfacl --help
setfacl 2.2.51 -- set file access control lists
Usage: setfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
  -m, --modify=acl        modify the current ACL(s) of file(s)
  -M, --modify-file=file  read ACL entries to modify from file
  -x, --remove=acl        remove entries from the ACL(s) of file(s)
  -X, --remove-file=file  read ACL entries to remove from file
  -b, --remove-all        remove all extended ACL entries
  -k, --remove-default    remove the default ACL
      --set=acl           set the ACL of file(s), replacing the current ACL
      --set-file=file     read ACL entries to set from file
      --mask              do recalculate the effective rights mask
  -n, --no-mask           don't recalculate the effective rights mask
  -d, --default           operations apply to the default ACL
  -R, --recursive         recurse into subdirectories
  -L, --logical           logical walk, follow symbolic links
  -P, --physical          physical walk, do not follow symbolic links
      --restore=file      restore ACLs (inverse of `getfacl -R')
      --test              test mode (ACLs are not modified)
  -v, --version           print version and exit
  -h, --help              this help text

# 创建部门目录
[root@localhost /]# mkdir deptA
# 创建分组groupA
[root@localhost /]# groupadd groupA

# 设置deptA目录的属主和属组，并赋予770权限
[root@localhost /]# chown root:groupA /deptA
[root@localhost /]# chmod 770 /deptA
[root@localhost /]# ll -d /deptA/
drwxrwx---. 2 root groupA 6 8月  14 19:04 /deptA/

# 再创建一个其他部门调动过来的员工，但只能赋予操作deptA目录的rx权限
[root@localhost /]# useradd xiaoxiao
[root@localhost /]# setfacl -m u:xiaoxiao:rx /deptA/

[root@localhost /]# getfacl deptA/
# file: deptA/
# owner: root
# group: groupA
user::rwx  # 用户root的权限，属主
user:xiaoxiao:r-x  # 用户xiaoxiao的权限
group::rwx  # 用户组groupA的权限，属组
mask::rwx  # mask默认权限
other::---  # 其他人权限，其他人
[root@localhost /]# 

[root@localhost /]# ll /etc/passwd
-rw-r--r--. 1 root root 2658 8月  14 19:26 /etc/passwd
[root@localhost /]# ll /etc/shadow
----------. 1 root root 1729 8月  14 19:27 /etc/shadow

[root@localhost /]# ll /usr/bin/passwd 
-rwsr-xr-x. 1 root root 27856 4月   1 2020 /usr/bin/passwd

[root@localhost /]# chmod u-s /usr/bin/passwd
[root@localhost /]# su xiaoxiao
[xiaoxiao@localhost /]$ passwd
更改用户 test_0814 的密码 。
新的 密码：
重新输入新的 密码：
passwd：身份验证令牌错误。

[root@localhost /]# ll /usr/bin/locate 
-rwx--s--x. 1 root slocate 40520 4月  11 2018 /usr/bin/locate

[root@localhost /]# ll -d /tmp/
drwxrwxrwt. 35 root root 8192 8月  14 20:51 /tmp/

chattr [-RVf] [+-=参数选项] 文件/目录名

[root@localhost /]# chattr --help
Usage: chattr [-RVf] [-+=aAcCdDeijsStTu] [-v version] files...

# -a 列出目录下所有de文件属性，-d只显示目录
[root@localhost /]# lsattr -d /opt/
---------------- /opt/

[root@localhost /]# visudo
......
## Next comes the main part: which users can run what software on
## which machines (the sudoers file can be shared between multiple
## systems).
## Syntax:
##
##      user    MACHINE=COMMANDS
##
## The COMMANDS section may have other options added to it.
##
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL

## Allows members of the 'sys' group to run networking, software,
## service management apps and more.
# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS

## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

## Same thing without a password
# %wheel        ALL=(ALL)       NOPASSWD: ALL

## Allows members of the users group to mount and unmount the
## cdrom as root
# %users  ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom

## Allows members of the users group to shutdown this system
# %users  localhost=/sbin/shutdown -h now

## Read drop-in files from /etc/sudoers.d (the # here does not mean a comment)
#includedir /etc/sudoers.d

# 用户名   被管理的主机IP地址=(可使用的身份)   授权命令（绝对路径）
root    ALL=(ALL)       ALL
# %组名   被管理的主机IP地址=(可使用的身份)   授权命令（绝对路径）
%wheel  ALL=(ALL)       ALL

[root@localhost /]# useradd test_0814
[root@localhost /]# passwd test_0814
更改用户 test_0814 的密码 。
新的 密码：
重新输入新的 密码：
passwd：所有的身份验证令牌已经成功更新。

[root@localhost /]# su test_0814
[test_0814@localhost /]$ sudo /sbin/shutdown -r now

我们信任您已经从系统管理员那里了解了日常注意事项。
总结起来无外乎这三点：

    #1) 尊重别人的隐私。
    #2) 输入前要先考虑(后果和风险)。
    #3) 权力越大，责任越大。

[sudo] test_0814 的密码：
test_0814 不在 sudoers 文件中。此事将被报告。
[test_0814@localhost /]$ 

[test_0814@localhost /]$ su root
密码：
[root@localhost /]# visudo
......
# 在文件中加入内容：
test_0814  ALL=(ALL)  /sbin/shutdown -h now

[root@localhost /]# su test_0814
[test_0814@localhost /]$ sudo /sbin/shutdown -r now
[sudo] test_0814 的密码：
对不起，用户 test_0814 无权以 root 的身份在 localhost.localdomain 上执行 /sbin/shutdown -r now。
[test_0814@localhost /]$

[test_0814@localhost /]$ sudo -l
[sudo] test_0814 的密码：
......用户 test_0814 可以在 localhost 上运行以下命令：
    (ALL) /sbin/shutdown -h now
[test_0814@localhost /]$ 

- k     => 不执行任何关机操作，只发出警告信息给所有用户
- r     => 重新启动计算机
- h     => 关机并彻底断电
- f     => 快速关机且重启动时跳过fsck
- n     => 快速关机不经过init程序
- c     => 取消之前的定时关机