基本权限
• 访问方式(权限)
– 读取:允许查看内容-read r
– 写入:允许修改内容-write w
– 可执行:允许运行和切换-execute x
文本文件：
r：cat head tail less
w：vim 保存
x：可执行该文件• 权限适用对象(归属)
– 所有者:拥有此文件/目录的用户-user u
– 所属组:拥有此文件/目录的组-group g
– 其他用户:除所有者、所属组以外的用户-other o
• 使用 ls -l 命令
– ls -ld 文件或目录...
以 - 开头：文本文件
以 d 开头：目录
以 l 开头：快捷方式
######################################################
• 判断权限
1. 用户角色 所有者>所属组>其他人 匹配及停止
2. 查看相应角色的权限位置#######################################################
设置基本权限
• 使用 chmod 命令
– chmod [-R] 归属关系+-=权限类别 文档...
[root@server0 ~]# mkdir /nsd01
[root@server0 ~]# ls -ld /nsd01
[root@server0 ~]# chmod g+w /nsd01
[root@server0 ~]# ls -ld /nsd01
[root@server0 ~]# chmod u-w /nsd01
[root@server0 ~]# ls -ld /nsd01
[root@server0 ~]# chmod o=rwx /nsd01
[root@server0 ~]# ls -ld /nsd01
[root@server0 ~]# chmod u=rwx,g=rx,o=--- /nsd01
[root@server0 ~]# ls -ld /nsd01
####################################################
临时切换用户身份：
[root@server0 ~]# su - zhangsan
目录的 r 权限:能够 ls 浏览此目录内容
目录的 w 权限:能够执行 rm/mv/cp/mkdir/touch/等更改目录内容的操作
目录的 x 权限:能够 cd 切换到此目录
###################################################
以root用户新建/nsddir/目录，在此目录下新建readme.txt文件，并进一步完成下列操作
1）使用户zhangsan能够在此目录下创建子目录 切换用户 su - zhangsan
chmod o+w /nsddir/
2）使用户zhangsan不能够在此目录下创建子目录
chmod o-w /nsddir/
3）使用户zhangsan能够修改readme.txt文件
chmod o+w /nsddir/readme.txt
4）调整此目录的权限，使所有用户都不能进入此目录
chmod u-x,g-x,o-x /nsddir/
5）为此目录及其下所有文档设置权限 rwxr-x---
chmod -R u=rwx,g=rx,o=--- /nsddir/
####################################################
• 使用 chown 命令
– chown [-R] 属主 文档...
– chown [-R] :属组 文档...
– chown [-R] 属主:属组 文档...
[root@server0 /]# mkdir /nsd03
[root@server0 /]# ls -ld /nsd03
[root@server0 /]# groupadd tarena
[root@server0 /]# chown zhangsan:tarena /nsd03
[root@server0 /]# ls -ld /nsd03
[root@server0 /]# chown student /nsd03
[root@server0 /]# ls -ld /nsd03
[root@server0 /]# chown :root /nsd03
[root@server0 /]# ls -ld /nsd03
###################################################
附加权限(特殊权限)
Set GID
• 附加在属组的 x 位上
– 属组的权限标识会变为 s
– 适用于目录,Set GID可以使目录下新增的文档自动设
置与父目录相同的属组(继承)
[root@server0 /]# mkdir /nsd06
[root@server0 /]# ls -ld /nsd06
[root@server0 /]# chown :tarena /nsd06
[root@server0 /]# mkdir /nsd06/abc01
[root@server0 /]# ls -ld /nsd06/abc01
[root@server0 /]# chmod g+s /nsd06/
[root@server0 /]# ls -ld /nsd06/
[root@server0 /]# mkdir /nsd06/abc02
[root@server0 /]# ls -ld /nsd06/abc02
##################################################
ACL策略权限
acl策略的作用
• 文档归属的局限性
– 任何人只属于三种角色:属主、属组、其他人
– 无法实现更精细的控制
• acl访问策略
– 能够对个别用户、个别组设置独立的权限
– 大多数挂载的EXT3/4、XFS文件系统默认已支持
[root@server0 /]# mkdir /nsd10
[root@server0 /]# ls -ld /nsd10
[root@server0 /]# chmod o=--- /nsd10
[root@server0 /]# ls -ld /nsd10
[root@server0 /]# su - zhangsan
[zhangsan@server0 ~]$ cd /nsd10
-bash: cd: /nsd10: Permission denied
[zhangsan@server0 ~]$ exit #回到root
logout
[root@server0 /]# setfacl -m u:zhangsan:rx /nsd10 #设置ACL
[root@server0 /]# ls -ld /nsd10
[root@server0 /]# su - zhangsan
[zhangsan@server0 ~]$ cd /nsd10
[zhangsan@server0 nsd10]$ pwd
[zhangsan@server0 nsd10]$ exit #回到root
logout
[root@server0 /]#
• 使用 getfacl、setfacl 命令
– getfacl 文档...
– setfacl -m u:用户名:权限类别 文档...
– setfacl -m g:组名:权限类别 文档...
– setfacl -b 文档... #清除所有的ACL策略
– setfacl -x 文档... #清除指定的ACL策略
[root@server0 /]# getfacl /nsd10 #查看ACL策略的命令
[root@server0 /]# setfacl -m u:natasha:rwx /nsd10
[root@server0 /]# setfacl -m u:lisi:rwx /nsd10
[root@server0 /]# setfacl -m u:kenji:rx /nsd10
[root@server0 /]# getfacl /nsd10
[root@server0 /]# setfacl -x u:kenji /nsd10
[root@server0 /]# getfacl /nsd10
[root@server0 /]# setfacl -b /nsd10
[root@server0 /]# getfacl /nsd10
#####################################################
使用LDAP认证
什么是LDAP?
• 轻量级目录访问协议
– Lightweight Directory Access Protocol
– 由服务器来集中存储并向客户端提供的信息,存储方
式类似于DNS分层结构
– 提供的信息包括:用户名、密码、通信录、主机名映
射记录、......
本地用户:本地/etc/passwd
网络用户的实现: LDAP服务器
服务器：classroom.example.com
客户端：server
1.安装一个客户端软件sssd 与LDAP服务器沟通的软件[root@server0 /]# yum -y install sssd
2..安装图形软件authconfig-gtk配置sssd工具[root@server0 /]# yum -y install authconfig-gtk
3.运行图形软件authconfig-gtk进行配置[root@server0 /]# authconfig-gtk
用户账户数据库：LDAP
LDAP搜索基础DN：dc=example,dc=com
LDAP服务器： classroom.example.com
钩选：用TLS加密连接
指定证书加密：
http://classroom.example.com/pub/example-ca.crt
认证方法：LDAP密码
4.重起客户端sssd服务[root@server0 /]# systemctl restart sssd #重起sssd服务
[root@server0 /]# systemctl enable sssd #设置开机自起
5.验证：LDAP服务器上用户可以在本地识别[root@server0 ~]# id ldapuser10
[root@server0 ~]# grep 'ldapuser10' /etc/passwd
二、家目录漫游，在本地访问服务器上的资源,
服务端：
classroom.example.com 作了NFS共享文件夹，共享了所有的家目录
客户端：访问共享
[root@server0 ~]# showmount -e classroom.example.com
Export list for classroom.example.com:
/home/guests 172.25.0.0/255.255.0.0
挂载共享目录，提供访问点
