Přístupová práva v Linuxu - Historie editací

Milan.Kerslager: /* Změna oprávnění */ fix (many thanx to Mirka Famfulíková)

2012-11-07T19:57:23Z

‎Změna oprávnění: fix (many thanx to Mirka Famfulíková)

Milan.Kerslager: /* Výpis oprávnění */ doplnění

2009-11-13T05:32:42Z

‎Výpis oprávnění: doplnění

Milan.Kerslager: /* Správa skupin */ doplnění

2009-11-13T05:16:30Z

‎Správa skupin: doplnění

Milan.Kerslager: Fix

2009-11-10T15:06:32Z

Fix

Milan.Kerslager: /* Uživatelé a skupiny */ fix

2009-11-10T13:53:49Z

‎Uživatelé a skupiny: fix

Milan.Kerslager: /* Tři trojice */ doplnění

2009-11-10T13:49:54Z

‎Tři trojice: doplnění

Milan.Kerslager: /* Změna oprávnění */ doplnění

2009-11-10T13:43:53Z

‎Změna oprávnění: doplnění

Milan.Kerslager: /* Správa skupin */ doplnění

2009-11-10T13:10:08Z

‎Správa skupin: doplnění

Milan.Kerslager: /* Správa uživatelů */ doplnění

2009-11-10T13:07:42Z

‎Správa uživatelů: doplnění

Milan.Kerslager: Doplnění

2009-11-10T11:05:43Z

Doplnění

@@ Řádka 157: / Řádka 157: @@
 V symbolickém zápisu se nejprve zapisuje, komu jsou práva přidělována (<code>u</code>: majitel (user), <code>g</code>: skupina (group), <code>o</code>: ostatní (others)). Pak se zapisuje operace s oprávněními (<code>+</code>: přidej, <code>-</code>: odeber, <code>=</code>: nastav tato práva). Nakonec se určuje, jaká oprávnění se budou nastavovat (<code>r</code>: čtení (read), <code>w</code>: zápis (write), <code>x</code>: spuštění (execute)).
-  chown 600 soubor.txt    # nastavení čtení a zápisu majiteli, ostatním nic
+  chmod 600 soubor.txt    # nastavení čtení a zápisu majiteli, ostatním nic
-  chown u-w soubor.txt    # odebrání práva zápisu majiteli
+  chmod u-w soubor.txt    # odebrání práva zápisu majiteli
-  chown ug=rwx soubor.txt # nastavení rwx pro majitele a skupinu
+  chmod ug=rwx soubor.txt # nastavení rwx pro majitele a skupinu
 Příklady oprávnění:

@@ Řádka 118: / Řádka 118: @@
 === Výpis oprávnění ===
-Výpis souboru pomocí programu <code>ls</code> s přepínačem <code>-l</code> zobrazuje i přístupová práva. V následujícím příkladu patří soubor uživateli rene.huzva a též stejnojmenné skupině. Na levém okraji je symbolický výpis oprávnění. První pomlčka říká, že jde o obyčejný soubor. Dále následují tři trojice oprávnění: pro vlastníka <code>rw-</code> (může číst soubor a zapisovat do něj), pro skupinu <code>r--</code> (členové skupiny mohou soubor pouze číst) a pro ostatní <code>---</code> (žádná oprávnění). Velikost souboru je 836 bajtů a naposledy bylo do něj zapisováno 10. listopadu v 11 hodin a 50 minut (aktuálního roku &ndash; jinak se rok zobrazí místo času).
+Výpis souboru pomocí programu <code>ls</code> s přepínačem <code>-l</code> zobrazuje i přístupová práva. V následujícím příkladu patří soubor uživateli rene.huzva a též stejnojmenné skupině. Na levém okraji je symbolický výpis oprávnění. První pomlčka říká, že jde o obyčejný soubor (může obsahovat ještě písmena <code>d</code> (adresář), <code>l</code> (linka), <code>b</code> (blokové zařízení), <code>c</code> (znakové zařízení), <code>p</code> (roura), <code>s</code> (soket)).
   $ ls -l soubor.txt
   -rw-r----- 1 rene.huzva rene.huzva 836 lis 10 11:50 soubor.txt
-Ve následujícím výpisu je pomocí přepínače <code>-d</code> zajištěno, že se nevypíše obsah adresáře, ale adresář sám (resp. jeho oprávnění). Na levé straně výpisu je tentokrát u kraje písmeno ''d'', které oznamuje, že se jedná o adresář. Následují tří trojice oprávnění: pro vlastníka <code>rwx</code> (může adresář vypsat, může v něm vytvářet a mazat soubory a může do něj vstoupit), pro skupinu <code>r-x</code> (členové skupiny mohou adresář vypsat a mohou do něj vstoupit) a pro ostatní <code>---</code> (žádná oprávnění). Velikost adresáře je 836 bajtů (záleží na maximálním použitém počtu obsažených položek, uživatel nemůže tento údaj nijak ovlivnit) a naposledy byl adresář upravován 10. listopadu v 11 hodin a 51 minut (aktuálního roku &ndash; jinak se rok zobrazí místo času), tj. tohoto data v něm byl vytvořen nebo smazán soubor.
+Ve následujícím výpisu je pomocí přepínače <code>-d</code> zajištěno, že se nevypíše obsah adresáře, ale adresář sám (resp. jeho oprávnění). Na levé straně výpisu je tentokrát u kraje písmeno ''d'', které oznamuje, že se jedná o adresář.
   $ ls -ld adresar
-  drwxr-x--- 2 rene.huzva rene.huzva 4096 lis 10 11:51 adresar
+  drwxr-x--- 2 rene.huzva rene.huzva 4096 dub  7  2006 adresar
 === Změna oprávnění ===

@@ Řádka 59: / Řádka 59: @@
 Správa skupin:
-  id                            # zjištění UID a GID právě přihlášeného uživatele
+  id                            # zjištění UID a všech GID právě přihlášeného uživatele
-  id rene.huzva                 # zjištění UID a GID uživatele rene.huzva
+  id rene.huzva                 # zjištění UID a všech GID uživatele rene.huzva
   groupadd studenti             # vytvoření skupiny "studenti"
   groupmod -n "Studenti školy"  # nastavení plného názvu skupiny

← Starší verze		Verze z 10. 11. 2009, 15:06
Řádka 1:		Řádka 1:
−	'''Přístupová práva v Linuxu''' jsou klasická jednoduchá unixová oprávnění, která se aplikují na soubory a adresáře v tradičním souborovém systému UFS. Oprávnění jsou nastavována přímo a při jejich vyhodnocování se nepracuje s mechanismy dědění oprávnění z nadřízených adresářů (se specifickou výjimkou práva vstupu do adresáře). I přes jejich jednoduchost lze obvykle pomocí jednoduchých doplňujících možností dosáhnout požadovaného stavu. Přesto se v současné době často používají rozšířená oprávnění podle ~~normy~~ POSIX (viz [[ACL v Linuxu]]), která poskytují flexibilnější možnosti nastavení.	+	'''Přístupová práva v Linuxu''' jsou klasická jednoduchá unixová oprávnění, která se aplikují na soubory a adresáře v tradičním souborovém systému UFS. Oprávnění jsou nastavována přímo a při jejich vyhodnocování se nepracuje s mechanismy dědění oprávnění z nadřízených adresářů (se specifickou výjimkou práva vstupu do adresáře). I přes jejich jednoduchost lze obvykle pomocí jednoduchých doplňujících možností dosáhnout požadovaného stavu. Přesto se v současné době často používají rozšířená oprávnění podle standardu POSIX (viz [[ACL v Linuxu]]), která poskytují flexibilnější možnosti nastavení.

	== Uživatelé ==		== Uživatelé ==

@@ Řádka 1: / Řádka 1: @@
 '''Přístupová práva v Linuxu''' jsou klasická jednoduchá unixová oprávnění, která se aplikují na soubory a adresáře v tradičním souborovém systému UFS. Oprávnění jsou nastavována přímo a při jejich vyhodnocování se nepracuje s mechanismy dědění oprávnění z nadřízených adresářů (se specifickou výjimkou práva vstupu do adresáře). I přes jejich jednoduchost lze obvykle pomocí jednoduchých doplňujících možností dosáhnout požadovaného stavu. Přesto se v současné době často používají rozšířená oprávnění podle normy POSIX (viz [[ACL v Linuxu]]), která poskytují flexibilnější možnosti nastavení.
-== Uživatelé a skupiny ==
+== Uživatelé ==
 Ve víceuživatelských unixových systémech je nutné od sebe jednotlivé uživatele oddělit a chránit jejich data a běžící procesy. Proto jsou v systému definováni uživatelé a skupiny. Při vyhodnocování oprávnění se používají číselné identifikátory UID (číslo uživatele) a GID (číslo skupiny), která se při výpisu převádějí na  přihlašovací jména a názvy skupin.
 === Uživatelé ===
-Každý uživatel unixového systému má svůj ''učet'', který zahrnuje přihlašovací jméno, heslo a domácí adresář. Z historických důvodů jsou často uživatelská jména omezena na délku osmi znaků, avšak současné systémy (např. Linux) obvykle umožňují používat i delší přihlašovací jména, což může způsobovat drobné obtíže (například zkrácení na osm znaků ve výpisu příkazu <code>last</code> nebo nemožnost přihlášení pomocí řádkového programu FTP obsaženého přímo v MS Windows).
+Každý uživatel unixového systému má svůj ''účet'', který zahrnuje přihlašovací jméno, heslo a domácí adresář. Z historických důvodů jsou často uživatelská jména omezena na délku osmi znaků, avšak současné systémy (např. Linux) obvykle umožňují používat i delší přihlašovací jména, což může způsobovat drobné obtíže (například zkrácení na osm znaků ve výpisu příkazu <code>last</code> nebo nemožnost přihlášení pomocí řádkového programu FTP obsaženého přímo v MS Windows).
 Uživatelské účty jsou definovány v jednoduché databázi v podobě textového souboru <code>/etc/passwd</code>, kde je na každém řádku uveden jeden účet. Jednotlivé položky každého účtu jsou odděleny dvojtečkou. Struktura záznamu je pevně dána takto:

← Starší verze		Verze z 10. 11. 2009, 13:49
Řádka 94:		Řádka 94:

	Z výše uvedených poznámek vyplývá, že přístupová práva se určují pouze podle nejkonkrétnější trojice, tj. pokud přistupuje k souboru jeho vlastník, pak jsou na něj aplikovaná práva pouze z první trojice. Pokud k souboru přistupuje někdo, kdo není jeho vlastník, ale patří do stejné skupiny jako soubor, pak je na něj uplatňována trojice oprávnění pro skupinu. Teprve tehdy, pokud k souboru nebo adresáři přistupuje uživatel, který není ani vlastník a ni nepatří do skupiny jako soubor, je na něj uplatněna poslední trojice oprávnění pro ostatní uživatele.		Z výše uvedených poznámek vyplývá, že přístupová práva se určují pouze podle nejkonkrétnější trojice, tj. pokud přistupuje k souboru jeho vlastník, pak jsou na něj aplikovaná práva pouze z první trojice. Pokud k souboru přistupuje někdo, kdo není jeho vlastník, ale patří do stejné skupiny jako soubor, pak je na něj uplatňována trojice oprávnění pro skupinu. Teprve tehdy, pokud k souboru nebo adresáři přistupuje uživatel, který není ani vlastník a ni nepatří do skupiny jako soubor, je na něj uplatněna poslední trojice oprávnění pro ostatní uživatele.
		+
		+	=== Význam oprávnění pro soubory a adresáře ===
		+	Oprávnění mají mírně odlišný význam pro adresáře, jak je uvedeno v následující tabulce. Právo spuštění slouží u adresáře k povolení vstupu do adresáře (ale ne jeho výpis, takže v případě absence práva read musí uživatel znát jméno souboru, ke kterému chce přistupovat). Navíc je nutné, aby uživatel měl právo přístupu ke všem nadřízeným adresářům (včetně kořenového adresáře souborového systému).
		+
		+	{\| class="wikitable" style="text-align:center; margin-left: 1em;" align=center
		+	!
		+	! Soubor
		+	! Adresář
		+	\|-
		+	! Read
		+	\| čtení obsahu souboru
		+	\| výpis obsahu adresáře
		+	\|-
		+	! Write
		+	\| zápis do souboru
		+	\| zápis do adresáře (vytváření, mazání a přejmenování souborů i podadresářů)
		+	\|-
		+	! eXecute
		+	\| spuštění (program, skript)
		+	\| vstup do adresáře
		+	\|}<br clear=all>

	=== Výpis oprávnění ===		=== Výpis oprávnění ===

@@ Řádka 37: / Řádka 37: @@
 Uživatelé se obvykle zakládají speciálním programem, který zajistí konzistenci (tj. zamykání) ve víceuživatelském prostředí (tj. při současném použití dvěma uživateli nedojde k poškození nebo přemazání uložených dat). V grafických prostředích jsou k dispozici klikací nástroje.
   useradd rene.huzva     # založení uživatele
   userdel -r rene.huzva  # smazání uživatele včetně jeho domácího adresáře a spolu pro e-maily

@@ Řádka 21: / Řádka 21: @@
 ;Plné jméno: Plné jméno je obvykle jméno a příjmení uživatele. Někdy se za čárky uvádí ještě kancelář, telefon do kanceláře a telefon domů. Plné jméno využívají některé programy (např. klient elektronické pošty, který ho implicitně používá pro jméno odesílatele). V souboru není uvedeno kódování, takže je nutné, aby případná písmena s diakritikou byla uvedena v kódování, které implicitně používá celý systém (dnes typicky UTF-8), případně se smířit s tím, že bude někdy špatně interpretováno (nutno vyzkoušet). Uživatel si může své plné uživatelské jméno měnit příkazem <code>chfn</code>.
-;Domácí adresář: Domácí adresář slouží pro uložení konfiguračních souborů (typicky začínají tečkou a jsou proto ''skryté'' a pro uložení uživatelských dat. Typicky jsou domácí adresáře umístěny v <code>/home/prihlasovaci.jmeno</code>, ale není to nezbytně nutné. Definici domácího adresáře používá například shell, který je schopen cestu doplnit při expanzi znaku tilda (<code>~</code>). Běžné programy využívají spíše proměnnou prostředí <code>HOME</code>, která je podle této položky nastavena při přihlášení uživatele (např. při ukládání uživatelských souborů).
+;Domácí adresář: Domácí adresář slouží pro uložení konfiguračních souborů (typicky začínají tečkou a jsou proto ''skryté'' a pro uložení uživatelských dat. Typicky jsou domácí adresáře umístěny v <code>/home/prihlasovaci.jmeno</code>, ale není to nezbytně nutné. Definici domácího adresáře používá například shell, který je schopen cestu doplnit při expanzi znaku tilda (<code>~</code>). Běžné programy využívají spíše proměnnou prostředí <code>HOME</code>, která je podle této položky nastavena při přihlášení uživatele (a použije ji např. při ukládání uživatelských souborů). Do domácího adresáře je obvykle při založení uživatele nakopírován obsah adresáře <code>/etc/skel</code>, který obsahuje několik implicitních uživatelských konfiguračních souborů (jako ukázky nebo pro zajištění prvotního zamýšleného nastavení, např. <code>~/.bashrc</code> pro inicializaci shellu BASH při přihlášení).
 ;Implicitní shell: Implicitní shell je interpret příkazů, který je spuštěn při přihlášení uživatele (nebo při spuštění emulace terminálu v grafickém prostředí), což je typicky <code>/bin/bash</code>. Uživatel si může změnit implicitní shell pomocí příkazu <code>chsh</code>, avšak může vybírat pouze z těch, které jsou uvedeny v souboru <code>/etc/shells</code>. Stejně tak systém při přihlášení nespustí shell, který v tomto souboru není uveden, což je bezpečnostní opatření. Shell může být též nějaký jiný program, který zajistí komunikaci s uživatelem (např. menu). Systémovým účtům se obvykle dávají jako shell programy, které nedělají nic, aby se na ně nemohl někdo přihlásit (např. <code>/sbin/nologin</code>, méně vhodně <code>/bin/false</code> apod.).
@@ Řádka 33: / Řádka 33: @@
   ...
   rene.huzva:x:10727:10727:René Hužva:/home/rene.huzva:/bin/bash
 == Skupiny ==
-Skupiny jsou vedeny v souboru <code>/etc/groups</code>, hesla jsou podobně jako v předchozím případě obvykle umístěna v souboru <code>/etc/gshadow</code>.
+Skupiny jsou vedeny v souboru <code>/etc/groups</code>, hesla jsou podobně jako v předchozím případě obvykle umístěna v souboru <code>/etc/gshadow</code>. V systémech vycházejících ze systému BSD je uživatel vždy členem právě jedné skupiny. V systémech vycházejících ze System V může být uživatel členem více skupin najednou (při přístupu k souborům se posuzují jeho oprávnění na základě členství ve všech skupinách).
 === Primární a doplňující skupiny ===
 == Změna vlastníka a skupiny ==
@@ Řádka 64: / Řádka 90: @@
 Z výše uvedených poznámek vyplývá, že přístupová práva se určují pouze podle nejkonkrétnější trojice, tj. pokud přistupuje k souboru jeho vlastník, pak jsou na něj aplikovaná práva pouze z první trojice. Pokud k souboru přistupuje někdo, kdo není jeho vlastník, ale patří do stejné skupiny jako soubor, pak je na něj uplatňována trojice oprávnění pro skupinu. Teprve tehdy, pokud k souboru nebo adresáři přistupuje uživatel, který není ani vlastník a ni nepatří do skupiny jako soubor, je na něj uplatněna poslední trojice oprávnění pro ostatní uživatele.
 === Změna oprávnění ===