Проверка прав производится в таком порядке – если владелец файла совпадает с EUID, берутся права владельца. Иначе, если группа или одна из дополнительных групп совпадают с группой файла, то берутся права группы, и в противном случае – права «остальные».

Для каталога право на «исполнение» означает возможность войти в каталог. При этом посмотреть список файлов в нём не гарантируется – для этого нужно право на чтение. Право на запись означает возможность создавать и удалять файлы в каталоге. Сменить права на файл (или другой объект) может только его владелец. Если нужно сменить права для группы, то владелец должен в неё входить. Ну и конечно, суперпользователь может менять любые права, а также владельца и группу любого файла.

Как уже было сказано, право записи в каталог позволяет создавать и удалять в нём файлы. В том числе чужие. Чтобы обеспечить комфорт работы с общими каталогами, например

, и не позволять удаление чужих файлов, был придуман дополнительный «липкий» флаг (). Если каталог обладает им, то удаление файлов разрешается только тем, кто владеет файлом и имеет право записи в каталог (и -у, конечно).

Раз уж мы коснулись файловой системы, то стоит отметить ещё два флага –

и . Если файл имеет флаг , то при его запуске EUID процесса сменится на владельца файла. Для – аналогично, но для группы. Чаще всего он ставится на файлы, исполнение которых необходимо с правами суперпользователя, например . Для скриптов они не работают. Если флаг устанавливается на каталог, то созданные в нём файлы и каталоги автоматически наследуют группу. Флаг на каталогах игнорируется.

Как уже упоминалось выше, посмотреть права можно командой

. В строке прав первым символом показывается тип файла ('' = файл, '' = каталог, '' = ссылка, '' = сокет и т. п.), далее три группы прав владельца, группы и остальных по три символа '', '' '' для чтения, записи и исполнения соответственно ('' означает отсутствие прав). Флаг обозначается символом '' вместо '' в группе «остальные». флаги suid/sgid – символом '' вместо '' в группе «владелец» или «группа» соответственно. Если за этой строчкой идёт символ '', это значит, что на этот файл установлены acl (см. ниже).

Менять права на файл можно командой

. Сменить владельца файла – командой , группу – . Для того, чтобы сменить права на файл, команде chmod нужно указать новые в восьмеричном виде или в символьном. Последний вариант позволяет добавить или удалить отдельные права для владельца, группы или остальных, например:

В символьном виде для

указывается один или более символов '' (владелец, группа, остальные, все три группы вместе), затем символ '' или '' для установки или сброса прав, и затем один или более символов '' – какие права затрагиваются. Например, добавит права на чтение и исполнение для группы и остальных файлу .

Описанная выше система покрывает множество потребностей, но не все. В попытках улучшить её были созданы различные расширения, реализованные в файловых системах Linux. Одно из них – расширенные атрибуты файлов. Они включены по умолчанию, и их можно смотреть и изменять командами

и . Самые важные для нас:

Таблица 4: некоторые расширенные атрибуты

Если расширенный атрибут запрещает какое-то действие (например удаление), то это распространяется даже на суперпользователя (в отличие от обычных атрибутов). Но суперпользователь может легко снять или установить любой из них.

Другое расширение, как правило требующее активации на файловой системе, – ACL (Access Control List), списки контроля доступа. Посмотреть и изменить их можно командами

и . Они работают аналогично традиционным правам доступа, рассмотренным выше, однако права на чтение/запись/исполнение теперь можно устанавливать отдельным пользователям и/или группам, а также ограничивать эти права маской. Маска – набор «максимальных» прав из правил acl (традиционные к ним не относятся), которые будут работать. Например, разрешим пользователю чтение файла и запись в файл :

Здесь ключ '

' указывает модифицировать правила acl. Указав ключ '', можно заменить правила, т. е. удалить старые и заменить новыми (в можно указать несколько правил одновременно). Ключом '' правила можно удалять. Строка '' указывает на то, что правило относится к пользователю (u = user, g = group, o = others), его и<я и устанавливаются права на чтение и запись. Теперь установим маску – разрешим пользователю (и другим, имеющим доступ через правила acl) «не более чем» чтение:

Как видим, правило осталось, но права на запись ограничены маской.

Ещё одно полезное свойство acl – наследование правил. На каталог можно установить acl «по умолчанию», они могут не совпадать с acl на сам каталог, и они будут автоматически применяться ко всем создаваемым файлам и каталогам.

Советуем подробнее прочесть о правах в Linux и опциях вышеупомянутых команд, тут мы их коснулись совсем немного.

Понятие сервиса, ключевые сервисы

Выше мы уже не раз использовали термины «сервис», «демон», «служба». Все они обозначают одно и то же: процесс или группу процессов, которые работают постоянно или автоматически запускаются по запросу. Их задача – обслуживать определённые запросы от пользователей, других процессов, других компьютеров в сети. Например, web-сервер

– сервис, обслуживающий запросы по http-протоколу. SMTP-сервер отвечает за запросы на передачу почтовых сообщений и т. д. Рассмотрим сервисы, часто используемые в суперкомпьютерах. О некоторых из них мы уже говорили выше и здесь только перечислим их.