Lekce 12 - Linuxový terminál (Bash) - Správa skupin a ACL
V minulé lekci, Linuxový terminál (Bash) - Správa uživatelů, jsme se naučili pracovat s nejdůležitějšími příkazy pro vytváření a následnou správu uživatelských účtů.
V dnešní lekci se naučíme vytvářet a spravovat skupiny v Linuxu. Následně si ukážeme, jak efektivně přidělovat specifická oprávnění jednotlivým uživatelům.
Skupiny v Linuxu
V Linuxu existují dva typy skupin, kterými může být uživatel členem:
- Primární skupina - Každý uživatel musí být členem právě jedné primární skupiny. Ta je pak automaticky přiřazena ke všem souborům a adresářům, které uživatel vytvoří. Název skupiny je obvykle shodný s jménem uživatele.
- Sekundární skupina - Uživatel může být členem až 32 sekundárních skupin. Ty se využívají k přidělení vybraných oprávnění množině uživatelů.
Stejně jako seznam uživatelů, tak i seznam skupin je v Linuxu zapisován
do souboru. Operační systém zapisuje všechny skupiny do souboru
group, který nalezneme v adresáři /etc. Pojďme
soubor otevřít a podívat se, jaké máme v systému skupiny:
less /etc/group
Struktura souboru by nám měla být povědomá. Na každém řádku
nalezneme právě jednu skupinu a každý řádek se skládá z několika
informací oddělených dvojtečkou (:). Jejich význam je
následující:
| root | x | 0 |
| Jméno skupiny | Heslo skupiny | ID skupiny (GID) |
Heslo skupiny je v dnešní době považováno za bezpečnostní problém, a tak se doporučuje standardně nepoužívat.
Pokud bychom chtěli zjistit, ve kterých skupinách jsme členy, zadáme do terminálu příkaz:
groups
Po zadání příkazu uvidíme výpis podobný tomuto:
itnetwork adm dialout cdrom floppy sudo audio dip video plugdev netdev
Na první pozici je uvedena primární skupina, jejíž
název je shodný s jménem uživatele. Dále následují sekundární skupiny
přidělující další oprávnění uživateli itnetwork.
Zadáme-li jméno uživatele jako první parametr příkazu
groups, vypíšeme seznam skupin daného uživatele.
Skupina sudo
Ve výpisu příkazu groups si můžeme všimnout, že jednou ze
sekundárních skupin je sudo. Členství v této skupině nám
umožňuje používat stejnojmenný příkaz sudo a tudíž
využívat oprávnění uživatele root.
V Ubuntu je náš účet, vytvořený při instalaci, automaticky přidán do této skupiny. V jiných distribucích musíme uživatele do skupiny nejprve přidat:
sudo usermod -a -G sudo jmeno_uzivatele
Vytvoření skupiny
Začneme tím, že si příkazem groupadd vytvoříme novou
skupinu redactors. Do terminálu napíšeme:
sudo groupadd redactors
Skupina redactors nám bude sdružovat všechna
společná oprávnění pro uživatele, kteří jsou redaktoři.
Za určitých okolností můžeme vyžadovat vytvoření nové skupiny se
specifickým GID. Pro vytvoření skupiny redactors s
GID 2022, zadáme do terminálu:
sudo groupadd -g 2022 redactors
Pokud bude skupina s tímto GID v systému
existovat, příkaz vypíše chybové hlášení a skupinu
nevytvoří.
Nastavení skupiny
Každou skupinu můžeme dále spravovat, například změnit její název,
změnit její GID či nastavit heslo. K provedení těchto akcí
slouží příkaz groupmod a několik přepínačů.
Změna názvu
Nový název editors pro skupinu redactors
nastavíme prostřednictvím přepínače -n:
groupmod -n editors redactors
Změna GID
Změnu GID neprovádíme příliš často, ale může nastat
situace, která bude tuto změnu vyžadovat. Nové GID 5050
nastavíme s využitím přepínače -g:
groupmod -g 5050 editors
Nastavení hesla
Heslo pro skupinu není bezpečné a doporučuje se
nepoužívat. Pro ukázku si však zkusme nastavit heslo
28f36e8d6284f49 pro skupinu editors:
groupmod -p 28f36e8d6284f49 editors
Odstranění skupiny
Pro odstranění skupiny máme k dispozici příkaz
groupdel:
sudo groupdel editors
ACL v Linuxu
Budeme-li spravovat firemní server, zjistíme, že přidělovat práva pomocí skupin je velmi těžkopádné. Ve firmě obvykle máme desítky či stovky zaměstnanců a každý z nich potřebuje přístup jen k vybraným souborům. Tento problém řeší ACL (Access Control List), který umožňuje rozšířenou správu práv jednoho uživatele.
Příkazem adduser si vytvoříme dva nové uživatele
david a thomas. Následně se přepneme na uživatele
david:
su david
Zkusíme si vypsat obsah domovského adresáře uživatele
thomas:
ls /home/thomas
Namísto obsahu daného adresáře však obdržíme
chybové
hlášení: ls cannot open directory '/home/thomas': Permission denied.
Kdybychom přidělení práv vyřešili vytvořením společné skupiny, hrozilo by riziko, že později zapomeneme význam skupiny a umožníme tak přístup i jiné osobě.
Zobrazení přístupu
Příkazem getfacl zobrazíme název souboru, jeho vlastníka,
skupinu a aktuální nastavení ACL. Zkusme si zobrazit ACL pro
domovský adresář uživatele thomas:
getfacl /home/thomas
Výstup příkazu vypíše oprávnění adresáře
/home/thomas:
# file: thomas # owner: thomas # group: thomas user::rwx group::r-x other::---
Nastavení přístupu
K nastavení přístupu jednotlivým uživatelům nebo skupinám slouží
setfacl. Nyní přidáme uživateli david práva k
spuštění a čtení adresáře /home/thomas:
sudo setfacl -m u:david:r-x /home/thomas
Za přepínačem -m následuje trojice parametrů oddělených
dvojtečkou (:). Na první pozici zadáme typ záznamu:
u- user (uživatel),g- group (skupina),o- other (ostatní),- a
m- mask (maska).
Následuje název skupiny či jméno uživatele, kterému chceme práva přidělit. Na třetí pozici již zadáme pouze konkrétní oprávnění. Posledním parametrem příkazu je soubor či adresář, kterému ACL nastavujeme.
Nyní příkazem getfacl ověříme, že ve výpisu přibyl
řádek user:david:r-x:
# file: thomas # owner: thomas # group: thomas user::rwx user:david:r-x group::r-x other::---
Maska ACL
Po přidělení práv uživateli david si ve výpisu příkazu
getfacl můžeme všimnout nového řádku mask. Maska nám
v tomto případě určuje maximální možná práva. Pokud uživateli
david nastavíme plná práva a následně změníme masku:
sudo setfacl -m m::r-x /home/thomas
Uživatel david sice bude mít práva k zápisu, ale nebude mu
to nic platné.
Zamezení přístupu
Oprávnění danému uživateli odebereme příkazem setfacl s
využitím přepínače -x:
sudo setfacl -x u:david /home/thomas
To je pro dnešní lekci vše.
V příští lekci, Linuxový terminál (Bash) - Archivace a komprese, se naučíme co je to archivace, komprese a komprimace. Ukážeme si jak archivovat soubory programem tar a jak zmenšit jejich velikost nástroji gzip, bzip2 a zip.
