标签：
安全上下文：在linux系统中每个进程均以某个用户的身份运行，进程访问资源的权限取决于发起此进程的那个用户的权限
权限应用模型：
1）判断运行此进程的用户是否与被访问的资源的属主相同，如果相同，则运用属主的权限，如果不同，则
2）则判断运行此进程的用户是否属于被访问资源的属组，如果是，则应用属组权限，如果不是，则
3）则应用其他权限
三类用户权限：
属主：owner，u 属组：group，g 其它：other，o
每个文件针对每类访问者都定义了三种权限：（文件有相应的权限，就在相应的权限位用相应的字符代表，没有就用-）
r: Readable w: Writable x: eXcutable
同样的权限作用于不同的文件是所代表的意义有所不同：
文件：
r: 可使用文件查看类工具获取其内容 （cat，vi）
w: 可修改其内容
x: 可以把此文件提请内核启动为一个进程
目录：
r: 可以使用ls查看此目录中文件列表
w: 可在此目录中创建文件，也可删除此目录中的文件
x: 可以使用ls -l查看此目录中文件列表，可以cd进入此目录
X:只给目录x权限，不给文件x权限
例如：
rw- r-- ---：640
rwx r-x r-x: 755
rwx r_x ---: 750
rw- rw- rw- 666
二、权限修改操作
1、修改文件权限（mode）-----chmod
1）操作三类用户的权限，使用8进制数字表示
chmod [-R] OCTAl-MODE file
-R：表示递归修改（文件一般不给执行权限的）
例如：
2）操作一类用户或指定类别用户的权限（使用=）
u=，g=, o=, ug= a=
例如：
3）操作某类用户的某位或某些权限：+|-
u+，g+，o+
u-., g-,0-
ug- ,uo-,go-
例如：
（使用逗号隔开权限，g-o，o+w，a一般情况下，可以省略）
4）引用型修改
--reference=/path/to/somefile
2、修改属主、属组----chown，chgrp（只有管理员root才能实现）
1)chown 修改文件的属主
语法：chown[OPTION]... [OWNER][:[GROUP]] FILE...
用法：
OWNER
OWNER:GROUP
:GROUP
命令中的冒号可用.替换；
-R: 递归
chown[OPTION]... --reference=RFILE FILE...
案例：
（-R 递归修改）
2）chgrp
语法：
chgrp[OPTION]... GROUP FILE...
chgrp[OPTION]... --reference=RFILE FILE...参考RFILE文件的属组，将FILE的修改为同RFILE
用法：-R 递归
3）Umask介绍
umask即权限的遮罩码，一般在/etc/profile、$ [HOME]/.bash_profile或$[HOME]/.profile中设置umask值。
(umask 只给当前shell进制有效，umask（mode）
文件： 666-umask
注意：如果减的结果中存在执行权限，则让对应的用户类别的八进制权限数字加1
目录： 777-umask
案例：
（root用户：创建目录默认权限为755，创建文件的默认权限为644）
（普通用户：创建目录的默认权限为775，创建文件的默认权限为664）
三、Suid,sgid,sticky的三个权限的详细说明
Suid：设置使文件在执行阶段具有文件所有者的权限. 典型的文件是 /usr/bin/passwd. 如果一般用户执行该文件, 则在执行过程中, 该文件可以获得root权限, 从而可以更改用户的密码.
特点：
Suid: 举例目录 /usr/bin/passwd
1)suid只能应用在二进制文件中
2)当一个文件应用了suid,那么任何人在执行该命令的时候他就临时拥有该文件拥有人的权限
3)suid只能应用在文件的拥有人上
4)小写表示能执行,大写表示不能执行
案例：
setgid: 该权限只对目录有效. 目录被设置该位后, 任何用户在此目录下创建的文件都具有和该目录所属的组相同的组.
Sgid: 应用环境为用于一组开发人员共用资源,保证安全
1)sgid既可以应用在文件上,也可以应用在目录上
2)当sgid应用在目录上时,任何人在该目录中建立健全的文件和目录的拥有者属于目录所属组
3)应用在拥有组上
4)sgid应用在文件上时,任何人在执行该文件时,临时拥有该文件所属组权限
5)小写表示可执行,大写反之
Sticky: 举例目录/tmp
1)sticky只能应用在目录上,并且是应用在其它人上.
2)只有root和文件的拥有人才能删除该文件.
3)小写表示能执行,大写表示不能执行
sticky bit: 该位可以理解为防删除位. 一个文件是否可以被某用户删除, 主要取决于该文件所属的组是否对该用户具有写权限. 如果没有写权限, 则这个目录下的所有文件都不能被删除, 同时也不能添加新的文件. 如果希望用户能够添加文件但同时不能删除文件, 则可以对文件使用sticky bit位. 设置该位后, 就算用户对目录具有写权限, 也不能删除该文件.
下面说一下如何操作这些标志:
操作这些标志与操作文件权限的命令是一样的, 都是 chmod. 有两种方法来操作,
1) 使用u,g,o
chmod u+s temp -- 为temp文件加上setuid标志. (setuid 只对文件有效)
chmod g+s tempdir -- 为tempdir目录加上setgid标志 (setgid 对目录和文件有效)
chmod o+t temp -- 为temp文件加上sticky标志 (sticky只对文件有效)
2) 采用八进制方式. 对一般文件通过三组八进制数字来置标志, 如 666, 777, 644等. 如果设置这些特殊标志, 则在这组数字之外外加一组八进制数字. 如 4666, 2777等. 这一组八进制数字三位的意义如下：
chmod 4777是设sid
chmod 2777是设置gid
chmod 1777是设sticky
标签：
原文地址：http://www.cnblogs.com/louis2008/p/authority.html
