Linux 中的授权机制详解

Linux
1

Linux 中的授权机制详解

引言

Linux 是一款多用户、多任务的操作系统，其权限管理机制是系统安全的核心基石。授权（Authorization） 指的是操作系统控制用户对文件、目录或系统资源进行访问的机制——它决定了用户“能”或“不能”做什么。合理的授权设置，可以确保数据不被未授权人员访问，同时也能提高系统整体安全性。

本文将系统地介绍 Linux 中的授权体系，从用户与组的基础概念，到文件权限、特殊权限、sudo 提权，再到更细粒度的访问控制列表（ACL），帮助你构建完整的权限管理知识框架。

一、用户与用户组：授权的基础

在 Linux 中，用户 和 用户组 是授权体系的两大基础概念。

1.1 用户（User）

用户是可以登录系统并使用系统资源（如运行程序、操作文件）的实体。Linux 中的用户主要分为三类：

用户类型 UID 范围 说明
超级用户（root） 0 拥有系统最高权限，几乎不受任何权限约束
系统用户 1-999 用于运行系统服务（如 bin、daemon），默认无法登录
普通用户 ≥1000 由管理员创建，权限受限，仅能访问被授权的资源

用户的核心作用包括：身份标识、权限控制、资源隔离和操作审计。

1.2 用户组（Group）

用户组是一组用户的集合，是一种逻辑分组机制，用于简化权限管理。用户组分为两种类型：

  • 主组（Primary Group）：每个用户必须属于一个主组。用户创建文件时，文件的“属组”默认就是用户的主组。
  • 附加组（Supplementary Groups）：一个用户可以同时属于零个或多个附加组，并继承这些组的权限。

用户和组的关系是多对多的——一个用户可以属于多个组，一个组也可以包含多个用户。

:light_bulb: 理解要点：可以把用户想象成“人”，把用户组想象成“部门”。给部门分配权限，部门内所有人自动获得相应权限，这大大简化了权限管理工作。

二、文件权限：三位一体的经典模型

Linux 中每个文件和目录都有一组权限，控制着谁能以什么方式访问它。

2.1 三种身份

Linux 的文件权限针对三种身份分别设置：

身份 说明
拥有者（User / Owner） 文件或目录的创建者或所有者
所属组（Group） 文件所属的用户组
其他人（Other） 既不是拥有者也不属于所属组的其他用户

三种身份的优先级为：拥有者 > 所属组 > 其他人。

2.2 三种权限

每种身份都对应三种基本权限：

权限 字符 数字值 对文件的作用 对目录的作用
读（Read） r 4 查看文件内容 列出目录中的文件列表
写（Write） w 2 修改文件内容 在目录中创建或删除文件
执行（Execute） x 1 运行该文件 进入（cd）该目录

2.3 权限的表示方式

使用 ls -l 命令可以查看文件的详细权限信息。例如：

-rw-r--r-- 1 root root 0 Oct 22 15:13 testfile

第一栏 -rw-r--r-- 共 10 个字符，分为四个部分：

  1. 第 1 个字符：文件类型（- 普通文件，d 目录，l 软链接等）
  2. 第 2-4 字符：拥有者权限（rw- = 读+写）
  3. 第 5-7 字符：所属组权限（r-- = 只读）
  4. 第 8-10 字符：其他人权限（r-- = 只读）

权限有两种表示方法：

  • 字符表示法：如 rwxr-xr-x
  • 数字（八进制）表示法：r=4，w=2，x=1，相加得到权限值。如 755 表示拥有者 7（rwx），所属组 5（r-x），其他人 5（r-x）。

2.4 管理权限的核心命令

chmod —— 修改文件权限

# 字符表示法：给拥有者添加执行权限
chmod u+x example.txt

# 数字表示法：设置权限为 rwxr-xr-x
chmod 755 example.txt

# 递归修改目录及其所有子文件
chmod -R 755 /path/to/directory

chown —— 更改文件拥有者

# 只更改拥有者
chown user1 example.txt

# 同时更改拥有者和所属组
chown user1:group1 example.txt

# 递归更改
chown -R user1:group1 /path/to/directory

chgrp —— 更改文件所属组

# 更改所属组
chgrp group1 example.txt

# 递归更改
chgrp -R group1 /path/to/directory

2.5 默认权限与 umask

新建文件和目录的默认权限由 umask（权限掩码）控制。文件的默认基础权限为 666（rw-rw-rw-），目录为 777（rwxrwxrwx）。umask 值会“减去”这些权限：

# 查看当前 umask
umask

# 设置 umask 为 022（新文件默认为 644，新目录默认为 755）
umask 022

三、特殊权限：SUID、SGID 与 Sticky Bit

除了基本的 r/w/x 权限，Linux 还提供了三种特殊权限，用于更精细的访问控制。

3.1 SUID（Set User ID）

SUID 允许普通用户在执行某个程序时，临时获得该程序所有者的权限。

经典案例是 passwd 命令：普通用户需要修改 /etc/passwd 文件（仅 root 可写），但 passwd 程序设置了 SUID，执行时以 root 身份运行，因此普通用户也能修改自己的密码。

# 设置 SUID
chmod u+s filename

# 查看：所有者权限位的 x 变为 s
ls -l filename   # 显示 -rwsr-xr-x

:warning: 安全提示：SUID 仅对可执行文件有效，滥用可能带来严重安全风险。

3.2 SGID（Set Group ID）

SGID 对文件和目录的作用不同：

  • 对可执行文件：执行时用户临时获得文件所属组的权限。
  • 对目录：在该目录下创建的新文件会继承目录的所属组，而非创建者的主组。

SGID 在团队协作场景中非常实用——当多个成员需要共享同一个目录时，设置 SGID 可以确保所有新文件的组归属一致。

# 设置 SGID
chmod g+s directory_name

3.3 Sticky Bit（粘滞位）

Sticky Bit 主要应用于共享目录。设置了 Sticky Bit 的目录，只有文件的所有者、目录的所有者或 root 用户才能删除或重命名目录中的文件。

最典型的例子是 /tmp 目录——所有用户都可以在其中创建临时文件，但只能删除自己的文件。

# 设置 Sticky Bit
chmod +t directory_name

# 查看：其他人权限位的 x 变为 t
ls -ld /tmp   # 显示 drwxrwxrwt

四、sudo 授权：普通用户的提权通道

在实际运维中，我们通常不直接使用 root 账户，而是通过 sudo 赋予普通用户执行特定管理命令的权限。

4.1 sudoers 文件

sudo 的授权规则配置在 /etc/sudoers 文件中。必须使用 visudo 命令来编辑该文件，因为它会进行语法检查，防止配置错误导致系统问题。

# 编辑 sudoers 文件
sudo visudo

4.2 授权规则格式

sudoers 中的授权规则格式如下：

<用户> <主机>=(<运行身份>:<组>) <命令>

常见示例：

# 授予用户所有权限（等同于 root）
username ALL=(ALL:ALL) ALL

# 授予用户仅执行特定命令的权限
username ALL=(ALL) /usr/bin/systemctl

4.3 最佳实践

  • 使用 /etc/sudoers.d/ 目录：在该目录下创建独立配置文件来管理授权规则，而不是直接修改 /etc/sudoers，便于维护和更新。
  • 遵循最小权限原则：只授予用户完成任务所必需的最少权限。
  • 使用用户组管理：将需要 sudo 权限的用户加入 wheel 等管理组，统一授权。

五、访问控制列表（ACL）：突破传统权限限制

传统的 Linux 权限模型（拥有者、所属组、其他人）有一个局限性：每个文件只能有一个拥有者和一个所属组。当需要为多个特定用户授予不同权限时，传统模型就力不从心了。

5.1 什么是 ACL

访问控制列表（Access Control List，ACL） 是对传统权限模型的扩展，允许为任意特定用户或用户组单独设置权限。

5.2 使用 ACL

# 查看文件的 ACL
getfacl filename

# 为特定用户设置权限（如给 andrew 赋予读写权限）
setfacl -m u:andrew:rw- filename

# 为特定组设置权限
setfacl -m g:developers:r-x filename

# 删除某个 ACL 条目
setfacl -x u:andrew filename

5.3 适用场景

ACL 特别适用于以下场景：

  • 多个用户需要访问同一个文件但权限各不相同
  • 临时为某个用户开放特定文件的访问权限
  • 复杂的团队协作环境，需要精细化的权限控制

六、总结

Linux 的授权机制是一个层层递进的完整体系：

层级 机制 核心作用
基础层 用户与用户组 定义“谁”在系统中存在
核心层 文件权限（r/w/x + 三种身份） 控制“谁能做什么”
增强层 特殊权限（SUID/SGID/Sticky Bit） 满足特殊场景的权限需求
管理层 sudo 安全地赋予普通用户管理权限
精细层 ACL 突破传统三身份限制，实现精细化授权

理解并灵活运用这些授权机制，是保障 Linux 系统安全、实现精细化管理的关键能力。在实际运维中，应始终遵循最小权限原则——只授予用户完成任务所必需的最低权限，既不过度开放，也不影响正常工作。