linux-sre-handbook

06-用户与权限

用户体系

用户类型

类型	UID 范围	说明
root	0	超级用户，无限制
系统用户	1-999	运行系统服务
普通用户	1000+	交互登录用户

关键文件

• /etc/passwd — 用户账户信息
• /etc/shadow — 加密密码
• /etc/group — 组信息
• /etc/sudoers — sudo 授权

权限模型

基本权限 (rwx)

-rwxr-xr--  1 owner group  1234 May  1 12:00 file.txt
│├─┤├─┤├─┤
│ │  │  └── others: r--
│ │  └───── group:  r-x
│ └──────── owner:  rwx
└─────────── 类型: - (文件) / d (目录) / l (链接)

权限	文件	目录
r	读取内容	列出文件
w	修改内容	增删文件
x	执行	进入目录

特殊权限

权限	位值	文件	目录
SUID	4000	以文件所有者身份执行	无意义
SGID	2000	以组身份执行	新文件继承目录组
Sticky	1000	(已废弃)	只有所有者能删除文件

umask

控制新建文件的默认权限：

umask 022   # 新文件: 644, 新目录: 755
umask 027   # 新文件: 640, 新目录: 750

文件属性与 ACL

chattr / lsattr（扩展属性）

chattr +i file    # 不可修改 (immutable)
chattr +a file    # 只能追加 (append only)
lsattr file       # 查看扩展属性

ACL (Access Control List)

getfacl file              # 查看 ACL
setfacl -m u:user:rw file # 设置 ACL

SRE 安全实践

• 最小权限原则 — 服务用专门用户运行，非 root
• sudo 精细控制 — 限定命令和参数
• 定期审计 — 检查无主文件、异常 SUID
• PAM 加强 — 参见 ../08-安全加固/03-PAM认证机制.md

延伸阅读

• ../08-安全加固/README.md — 全面安全加固