Права в строке ls -l

1.1 Учебный набор

На прошлом занятии мы создавали пользователей и группы и настраивали общий каталог командой chmod 2770. На этом занятии разберём, что каждое право разрешает файлу и каталогу, как права записываются буквами и числами, кто может менять владельца и какие права получают новые файлы.

Для опытов нужен каталог с файлами разных видов и два пользователя, кроме вас. Их создаёт скрипт perms-lab-setup.sh из материалов занятия. Он создаёт каталог ~/perm-lab с отчётом, скриптом резервного копирования, файлом с паролем и двумя подкаталогами, а также учётные записи anna и boris в группе devteam. Если anna и boris уже есть после занятия 5, скрипт их не пересоздаёт.

1.2 Строка ls -l по полям

Команда ls -l выводит о каждом файле одну строку. На этом занятии нужны тип объекта, права, владелец и группа.

В каждой тройке позиции постоянные: первая — r (read, чтение), вторая — w (write, запись), третья — x (execute, выполнение). Прочерк на позиции означает, что права нет. Поэтому r-x читается как «чтение и выполнение, без записи».

Команда stat выводит сведения о файле из его inode. С ключом -c она печатает только нужные поля по шаблону: %A — права буквами, %a — те же права числом, %U — владелец, %G — группа, %n — имя. Число рядом с буквами — те же права в другой записи: 644 означает rw-r--r--.

12345678

1. 1тип: - — обычный файл, d — каталог
2. 2права владельца: rw-
3. 3права группы: r--
4. 4права остальных: r--
5. 5владелец и группа файла
6. 6stat: те же права буквами и числом 644
7. 7домашний каталог закрыт для остальных: ---
8. 8/tmp: в последней позиции t вместо x

Весь снимок ↗

Строки ls -l и вывод stat для файлов набора и системных объектов.

Что показывает снимок. Скрипт создал набор; у файлов права rw-r--r--, у каталогов rwxr-xr-x; stat выводит те же права числами 644 и 755; домашний каталог закрыт для остальных, у /tmp в конце стоит t.

Где это пригодится. Разбор любой ошибки Permission denied начинается со строки ls -l: по ней видно владельца, группу и тройку, которая действует для процесса.

1.3 Чья тройка действует

Права проверяются для процесса: у процесса есть UID пользователя, который его запустил, и список групп. Ядро сравнивает их с владельцем и группой файла и выбирает одну тройку по порядку. Если UID процесса совпадает с владельцем — действуют права владельца. Иначе, если среди групп процесса есть группа файла, — права группы. Во всех остальных случаях — права остальных. Тройки не складываются: применяется первая подходящая.

Правило «первая подходящая тройка» даёт неожиданный результат, если права владельца меньше прав группы. Файл с правами ---rw-r-- его владелец прочитать не сможет, хотя состоит в группе файла: для владельца проверяется только первая тройка. Такие права встречаются редко, но по этому порядку разбирают любой отказ Permission denied.

Права похожи на правила входа в здание: у сотрудника конкретного кабинета свой ключ, у отдела — общий пропуск на этаж, у посетителей — доступ только в холл. Охранник смотрит, кто вы, и применяет одно правило по порядку: если вы хозяин кабинета, ваш отдельный ключ определяет доступ, даже если пропуск отдела давал бы больше.