Alat pembangun · Kalkulator Chmod
POSIX ACL vs bit mod chmod: apabila rwx tidak mencukupi
· Latar belakang
chmod unix kawalan akses
Bit mod meliputi satu pemilik, satu kumpulan dan orang lain. Siaran ini menerangkan model POSIX.1e ACL yang mengisi jurang, cara ia berinteraksi dengan chmod dan apabila kumpulan kongsi masih merupakan jawapan yang lebih mudah.
Satu lagi pembaca daripada model yang dibenarkan — fail adalah milik kumpulan apl dan seorang juruaudit di luar kumpulan itu perlu membacanya
Model mod biasa tidak mempunyai slot identiti keempat. Ia boleh menerangkan kebenaran untuk satu pemilik, satu kumpulan dan orang lain, tetapi ia tidak boleh menamakan juruaudit tambahan. Kalkulator mencerminkan sempadan itu dengan tepat: matriks, paparan simbolik dan ringkasannya mendedahkan ketiga-tiga kelas tersebut ditambah bit khas, bukan entri akses setiap pengguna atau setiap kumpulan.
Meluaskan kelas lain semata-mata untuk menampung seorang pembaca tambahan akan menjejaskan setiap identiti yang termasuk dalam kelas itu. Kalkulator boleh menunjukkan bahawa perubahan aritmetik, seperti beralih daripada 0640 kepada 0644, tetapi ia tidak boleh memutuskan sama ada akses yang lebih luas boleh diterima. Akses bernama memerlukan bukti dan perkakas di luar laluan ini.
Had tiga kelas — sebab model tradisional mempunyai tepat satu slot setiap satu untuk pemilik, kumpulan dan lain-lain
Setiap digit perlapanan mengekor tergolong dalam satu kelas tetap. Pemilik, kumpulan dan lain-lain menerima baca, tulis dan laksana bendera, menghasilkan sembilan kedudukan biasa. Model tidak boleh memasukkan triple lain untuk orang yang dinamakan. Oleh itu, penukaran yang berjaya menerangkan mod asas dengan jujur sambil mengatakan apa-apa tentang entri tambahan yang dilampirkan di tempat lain.
Had ini penting apabila membaca output yang nampaknya terhad. Nilai simbolik rw-r----- memberitahu anda pemilik asas, kumpulan dan bit lain yang diwakili oleh 0640. Ia tidak membuktikan bahawa tiada identiti lain boleh membaca objek itu, kerana kalkulator tidak memeriksa data ACL mahupun memerhati sebarang lapisan penguatkuasaan luaran.
POSIX.1e ACL — nama pengguna dan entri kumpulan bernama ditambahkan pada fail yang sama, ditetapkan dengan setfacl dan baca dengan getfacl
Entri pengguna bernama dan kumpulan bernama tidak dilaksanakan. Sumber tidak mengandungi penghurai atau pemformat untuk rekod ACL, tiada topeng ACL dan tiada operasi setfacl atau getfacl. Konsep tersebut mungkin memotivasikan menggunakan mekanisme kawalan akses luaran, tetapi artikel ini tidak boleh menentukan sintaks perintah atau tingkah laku di luar mengenali sempadan eksplisit kalkulator.
Pastikan mod asas kelihatan semasa melakukan kerja berasingan itu. Masukkan nilai perlapanan yang dilaporkan, sahkan pemilik, kumpulan dan tiga kali ganda lain dan rekod sebarang bit khas. Kemudian gunakan dokumentasi sistem fail yang berwibawa dan alat luaran yang sesuai untuk entri yang dinamakan. Pratonton chmod yang dijana oleh kalkulator tidak mencipta, memeriksa atau mengekalkan ACL.
Entri bernama ACL memerlukan alat luaran yang tidak dilaksanakan di sini
Hubungan antara perubahan chmod, bit kelas kumpulan dan topeng ACL bergantung pada tingkah laku yang tidak dilaksanakan di sini. Kalkulator sahaja menukar mod dua belas bit dan mengeluarkan tugasan atau hujah oktal. Ia tidak mempunyai keadaan ACL untuk mengira hak berkesan, jadi ia tidak boleh meramalkan sama ada entri bernama akan dihadkan.
Elakkan daripada menerangkan akibat ACL daripada output mod sahaja. Perubahan daripada 0640 kepada 0600 jelas mengalih keluar tiga bit kelas kumpulan dalam model ini; apa-apa tentang pengguna bernama, kumpulan bernama atau topeng memerlukan ACL dan peraturan platform sebenar. Sahkan mereka yang mempunyai dokumentasi sistem fail sebelum menggunakan arahan yang dipaparkan pada objek yang mengandungi ACL.
ACL interaksi topeng dengan chmod memerlukan dokumentasi sistem fail
Warisan ACL lalai juga berada di luar laluan. Halaman tidak mempunyai input ACL direktori, tiada operasi penciptaan dan tiada medan umask. Menukar pemilih sasaran daripada fail ke direktori menukar kata kerja bahasa Inggeris biasa yang dilampirkan pada mod tetap; ia tidak mencipta fail, warisan model atau mengira kebenaran objek masa hadapan.
Atas sebab yang sama, mod direktori semasa tidak boleh meramalkan setiap mod kanak-kanak baharu di sini. Kalkulator boleh menerangkan bahawa direktori membaca, menulis dan melaksanakan sepadan dengan penyenaraian, mengubah suai entri dan mencapai kandungan bernama. Ia tidak boleh menggabungkan bit asas tersebut dengan entri lalai, permintaan penciptaan atau topeng proses yang tidak pernah diterimanya.
Warisan ACL lalai dan interaksi umask berada di luar laluan ini
Pertimbangkan mod asas yang dibekalkan 0640 untuk fail yang mungkin memerlukan pembaca tambahan. Kalkulator menghasilkan rw-r-----: pemilik membaca dan menulis, kumpulan membaca, yang lain tiada. Itulah pernyataan lengkap yang disokong oleh inputnya. Ia tidak mengenal pasti juruaudit mahupun menawarkan kelas keempat untuk meletakkan identiti tersebut.
Simpan rekod mod asas ini semasa kerja ACL berlaku di tempat lain. Jika proses luaran kemudian melaporkan mod yang berbeza, nyahkod semula dan bandingkan setiap kelas. Jangan tampal perintah ACL ke dalam medan mod atau anggap pratonton arahan itu menggabungkan entri bernama. Ia sentiasa mewakili sahaja mod angka yang ditunjukkan pada masa ini.
Contoh berfungsi: pastikan mod asas boleh dibaca sementara kerja ACL berlaku di tempat lain
Keluarga ACL lain, peraturan sistem fail jauh dan sokongan pelekap tidak ditetapkan oleh sumber ini. Kalkulator tidak mengesan jenis storan, pilihan yang dipasang, sistem pengendalian atau ketersediaan operasi ACL. Oleh itu, paparan ACL yang hilang ialah sempadan pelaksanaan, bukan bukti bahawa objek asas tidak mempunyai kawalan akses yang lebih kaya.
Polisi mandatori, keupayaan, pemilikan dan identiti proses juga berasingan. Malah pengetahuan lengkap tentang mod asas tidak boleh menggantikan input tersebut. Laporkan penukaran mod sebagai satu lapisan dan labelkan setiap lapisan yang tidak diperhatikan secara eksplisit. Ini menghalang paparan rwx yang bersih daripada disalah anggap sebagai analisis kebenaran lengkap.
Model ACL lain dan sokongan pelekap tidak disimpulkan
Apabila tiga kelas mencukupi, kalkulator memberikan akaun yang tepat dan boleh diterbalikkan mengenainya. Apabila mereka tidak, pastikan akaun asas itu boleh dibaca dan bukannya memaksa pengecualian bernama ke dalam kelas lain. Paparan oktal, simbolik dan kotak pilihan harus bersetuju dengan pemilik, kumpulan, nilai lain dan bit khas yang sama.
Peraturan berhenti adalah mudah: gunakan laluan ini untuk aritmetik mod asas dan alat luaran yang berwibawa untuk keadaan ACL. Jangan sekali-kali membuat kesimpulan nama entri, topeng, warisan atau sokongan sistem fail daripada rwx sahaja. Semakan teliti menggabungkan sumber bukti yang berasingan tersebut tanpa berpura-pura kalkulator melaksanakan struktur kawalan akses yang tidak mengandungi kod sumbernya.