Linux中的Setfacl命令
setfacl命令是⽤来在命令⾏⾥设置ACL（访问控制列表）。在命令⾏⾥，⼀系列的命令跟随以⼀系列的⽂件名。
选项
-b,--remove-all：删除所有扩展的acl规则，基本的acl规则(所有者，组，其他）将被保留。
-k,--remove-default：删除缺省的acl规则。如果没有缺省规则，将不提⽰。
-n，--no-mask：不要重新计算有效权限。setfacl默认会重新计算ACL mask，除⾮mask被明确的制定。
--mask：重新计算有效权限，即使ACL mask被明确指定。
-d，--default：设定默认的acl规则。
--restore=file：从⽂件恢复备份的acl规则（这些⽂件可由getfacl -R产⽣）。通过这种机制可以恢复整个⽬录树的acl规则。此参数不能和除--test以外的任何参数⼀同执⾏。--test：测试模式，不会改变任何⽂件的acl规则，操作后的acl规格将被列出。
-
R，--recursive：递归的对所有⽂件及⽬录进⾏操作。
-L，--logical：跟踪符号链接，默认情况下只跟踪符号链接⽂件，跳过符号链接⽬录。
-P，--physical：跳过所有符号链接，包括符号链接⽂件。
--version：输出setfacl的版本号并退出。
--help：输出帮助信息。
--：标识命令⾏参数结束，其后的所有参数都将被认为是⽂件名
-：如果⽂件名是-，则setfacl将从标准输⼊读取⽂件名。
选项-m和-x后边跟以acl规则。多条acl规则以逗号(,)隔开。选项-M和-X⽤来从⽂件或标准输⼊读取acl规则。
选项--set和--set-file⽤来设置⽂件或⽬录的acl规则，先前的设定将被覆盖。
选项-m(--modify)和-M(--modify-file)选项修改⽂件或⽬录的acl规则。
选项-x(--remove)和-X(--remove-file)选项删除acl规则。
当使⽤-M，-X选项从⽂件中读取规则时，setfacl接受getfacl命令输出的格式。每⾏⾄少⼀条规则，以#开始的⾏将被视为注释。
当在不⽀持ACLs的⽂件系统上使⽤setfacl命令时，setfacl将修改⽂件权限位。如果acl规则并不完全匹配⽂件权限位，setfacl将会修改⽂
件权限位使其尽可能的反应acl规则，并会向standard error发送错误消息，以⼤于0的状态返回。
权限
⽂件的所有者以及有CAP_FOWNER的⽤户进程可以设置⼀个⽂件的acl。（在⽬前的linux系统上，root⽤户是唯⼀有CAP_FOWNER能⼒的⽤户）
ACL规则
setfacl命令可以识别以下的规则格式：
[d[efault]:] [u[ser]:]uid [:perms] 指定⽤户的权限，⽂件所有者的权限（如果uid没有指定）。
[d[efault]:] g[roup]:gid [:perms]  指定组的权限，⽂件所有组的权限（如果gid未指定）
[d[efault]:] m[ask][:] [:perms]  有效权限掩码
[d[efault]:] o[ther] [:perms]    其他的权限
恰当的acl规则被⽤在修改和设定的操作中，对于uid和gid，可以指定⼀个数字，也可指定⼀个名字。perms域是⼀个代表各种权限的字母的组合：读-r写-执⾏-x，执⾏只适合⽬录和⼀些可执⾏的⽂件。pers域也可设置为⼋进制格式。
⾃动创建的规则
最初的，⽂件⽬录仅包含3个基本的acl规则。为了使规则能正常执⾏，需要满⾜以下规则。
3个基本规则不能被删除。
任何⼀条包含指定的⽤户名或组名的规则必须包含有效的权限组合。
任何⼀条包含缺省规则的规则在使⽤时，缺省规则必须存在。
ACL的名词定义
先来看看在ACL⾥⾯每⼀个名词的定义，这些名词我⼤多从 page上摘下来虽然有些枯燥，但是对于理解
下⾯的内容还是很有帮助的。
ACL是由⼀系列的Access Entry所组成的，每⼀条Access Entry定义了特定的类别可以对⽂件拥有的操作权限。Access Entry有三个组成
部分：Entry tag , qualifier (optional), permission。
我们先来看⼀下最重要的Entry tag type，它有以下⼏个类型：
ACL_USER_OBJ：相当于Linux⾥file_owner的permission
ACL_USER：定义了额外的⽤户可以对此⽂件拥有的permission
ACL_GROUP_OBJ：相当于Linux⾥group的permission
ACL_GROUP：定义了额外的组可以对此⽂件拥有的permission
ACL_MASK：定义了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最⼤权限 (这个我下⾯还会专门讨论)
ACL_OTHER：相当于Linux⾥other的permission
让我们来据个例⼦说明⼀下，下⾯我们就⽤getfacl命令来查看⼀个定义好了的ACL⽂件：
[root@localhost ~]# getfacl ./
# file:
# owner: root
# group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw- other::r--
前⾯三个以#开头的定义了⽂件名，file owner和group。这些信息没有太⼤的作⽤，接下来我们可以⽤--omit-header来省略掉。
user::rw-    定义了ACL_USER_OBJ, 说明file owner拥有read and write permission
user:john:rw-  定义了ACL_USER，这样⽤户john就拥有了对⽂件的读写权限，实现了我们⼀开始要达到的⽬的
group::rw-  定义了ACL_GROUP_OBJ，说明⽂件的group拥有read and write permission
group:dev:r--  定义了ACL_GROUP，使得dev组拥有了对⽂件的read permission
mask::rw-    定义了ACL_MASK的权限为read and write
other::r--  定义了ACL_OTHER的权限为read
从这⾥我们就可以看出ACL提供了我们可以定义特定⽤户和⽤户组的功能，那么接下来我们就来看⼀下如何设置⼀个⽂件的ACL：
如何设置ACL⽂件
⾸先我们还是要讲⼀下设置ACL⽂件的格式，从上⾯的例⼦中我们可以看到每⼀个Access Entry都是由三个被：号分隔开的字段所组成，第⼀个就是Entry tag type。
user  对应了ACL_USER_OBJ和ACL_USER
group 对应了ACL_GROUP_OBJ和ACL_GROUP
mask  对应了ACL_MASK
other 对应了ACL_OTHER
第⼆个字段称之为qualifier，也就是上⾯例⼦中的john和dev组，它定义了特定⽤户和拥护组对于⽂件的权限。这⾥我们也可以发现只有user和group才有qualifier，其他的都为空。第三个字段就是我们熟悉的permission了。它和Linux的permission⼀样定义，这⾥就不多讲了。
下⾯我们就来看⼀下怎么设置这个⽂件的ACL让它来达到我们上⾯的要求。
⼀开始⽂件没有ACL的额外属性：
[root@localhost ~]# ls -l
-rw-rw-r-- 1 root admin 0 Jul 3 22:
[root@localhost ~]# getfacl --omit-header ./
user::rw- group::rw- other::r--
我们先让⽤户john拥有对⽂件的读写权限：
[root@localhost ~]# setfacl -m user:john:rw- ./
[root@localhost ~]# getfacl --omit-header ./
user::rw-
user:john:rw-
group::rw-
mask::rw-
other::r--
这时我们就可以看到john⽤户在ACL⾥⾯已经拥有了对⽂件的读写权。这个时候如果我们查看⼀下linux的permission我们还会发现⼀个不⼀样的地⽅。
[root@localhost ~]# ls -l ./
-rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./
在⽂件permission的最后多了⼀个+号，当任何⼀个⽂件拥有了ACL_USER或者ACL_GROUP的值以后我们就可以称它为ACL⽂件，这个+号就是⽤来提⽰我们的。我们还可以发现当⼀个⽂件拥有了ACL_USER或者ACL_GROUP的值时ACL_MASK同时也会被定义。
接下来我们来设置dev组拥有read permission：
[root@localhost ~]# setfacl -m group:dev:r-- ./
[root@localhost ~]# getfacl --omit-header ./
user::rw-
linux怎么读取文件user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--
到这⾥就完成了我们上⾯讲到的要求，是不是很简单呢。
ACL_MASK和Effective permission
这⾥需要重点讲⼀下ACL_MASK，因为这是掌握ACL的另⼀个关键，在Linux file permission⾥⾯⼤家都知道⽐如对于rw-rw-r--来说, 当中的那个rw-是指⽂件组的permission. 但是在ACL⾥⾯这种情况只是在ACL_MASK不存在的情况下成⽴。如果⽂件有ACL_MASK值，那么当中那个rw-代表的就是mask值⽽不再是group permission了。
让我们来看下⾯这个例⼦：
[root@localhost ~]# ls -l
-rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh
这⾥说明test.sh⽂件只有file owner: root拥有read, write, execute/search permission。admin组只有read and write permission，现在我们想让⽤户john也对test.sh具有和root⼀样的permission。
[root@localhost ~]# setfacl -m user:john:rwx ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx user:john:rwx
group::rw-
mask::rwx
other::r--
这⾥我们看到john已经拥有了rwx的permission，mask值也被设定为rwx，那是因为它规定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最⼤值，现在我们再来看test.sh的Linux permission，它已经变成了：
[root@localhost ~]# ls -l
-rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh
那么如果现在admin组的⽤户想要执⾏test.sh的程序会发⽣什么情况呢？它会被permission deny。原因在于实际上admin组的⽤户只有read and write permission，这⾥当中显⽰的rwx是ACL_MASK的值⽽不是group的permission。
所以从这⾥我们就可以知道，如果⼀个⽂件后⾯有+标记，我们都需要⽤getfacl来确认它的permission，以免发⽣混淆。
下⾯我们再来继续看⼀个例⼦，假如现在我们设置test.sh的mask为read only，那么admin组的⽤户还会有write permission吗？
[root@localhost ~]# setfacl -m mask::r-- ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx
user:john:rwx  #effective:r--
group::rw-  #effective:r--
mask::r--
other::r--
这时候我们可以看到ACL_USER和ACL_GROUP_OBJ旁边多了个#effective:r--，这是什么意思呢？让
我们再来回顾⼀下ACL_MASK的定义。它规定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最⼤权限。那么在我们这个例⼦中他们的最⼤权限也就是read only。虽然我们这⾥给ACL_USER和ACL_GROUP_OBJ设置了其他权限，但是他们真正有效果的只有read权限。
这时我们再来查看test.sh的Linux file permission时它的group permission也会显⽰其mask的值(i.e. r--)
[root@localhost ~]# ls -l
-rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh
Default ACL
上⾯我们所有讲的都是Access ACL，也就是对⽂件⽽⾔。下⾯我简单讲⼀下Default ACL。Default ACL是指对于⼀个⽬录进⾏Default ACL设置，并且在此⽬录下建⽴的⽂件都将继承此⽬录的ACL。
同样我们来做⼀个试验说明，⽐如现在root⽤户建⽴了⼀个dir⽬录：
[root@localhost ~]# mkdir dir
他希望所有在此⽬录下建⽴的⽂件都可以被john⽤户所访问，那么我们就应该对dir⽬录设置Default ACL。
[root@localhost ~]# setfacl -d -m user:john:rw ./dir
[root@localhost ~]# getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x
这⾥我们可以看到ACL定义了default选项，john⽤户拥有了default的read, write, excute/search permissi
on。所有没有定义的default都将从file permission⾥copy过来，现在root⽤户在dir下建⽴⼀个⽂件。
[root@localhost ~]# touch ./
[root@localhost ~]# ls -l ./
-rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./
[root@localhost ~]# getfacl --omit-header ./
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r--
这⾥我们看到在dir下建⽴的⽂件john⽤户⾃动就有了read and write permission，
ACL相关命令
前⾯的例⼦中我们都注意到了getfacl命令是⽤来读取⽂件的ACL，setfacl是⽤来设定⽂件的Acess ACL。这⾥还有⼀个chacl是⽤来改变⽂件和⽬录的Access ACL and Default ACL，它的具体参数⼤家可以去看man page。我只想提及⼀下chacl -B。它可以彻底删除⽂件或者⽬录的ACL属性(包括Default ACL)，⽐如你即使⽤了setfacl -x删除了所有⽂件的ACL属性，那个+号还是会出现在⽂件的末尾，所以正确的删除⽅法应该是⽤chacl -B⽤来复制⽂件的时候我们现在可以加上-p选项。这样在拷贝⽂件的时候也将拷贝⽂件的ACL属性，对于不能拷贝的ACL属性将给出警告。
命令将会默认地移动⽂件的ACL属性，同样如果操作不允许的情况下会给出警告。
需要注意的⼏点
如果你的⽂件系统不⽀持ACL的话，你也许需要重新你的file system：
mount -o remount, acl [mount point]
如果⽤命令改变Linux file permission的时候相应的ACL值也会改变，反之改变ACL的值，相应的file permission也会改变。
总结
以上所述是⼩编给⼤家介绍的Linux 中的Setfacl命令，希望对⼤家有所帮助，如果⼤家有任何疑问请给我留⾔，⼩编会及时回复⼤家的。在此也⾮常感谢⼤家对⽹站的⽀持！

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。