13.1 傳統檔案許可權

有關傳統 Linux 檔案許可權的基本說明,請參閱 節 15.2, 使用者和存取許可權。還有 setuid、setgid 以及黏貼位元的更多進階功能

13.1.1 setuid 位元

在某些狀況下,存取許可權的限制可能太多。因此,Linux 擁有其他的設定,可讓目前使用者與群組的身分針對特定的動作而進行暫時的變更。例如,passwd 程式通常需要根許可權來存取 /etc/passwd。此檔案包含一些重要的資訊,例如,使用者的主目錄,以及使用者與群組的 ID。因此,一般使用者將無法變更 passwd,因為授權讓所有使用者直接存取此檔案是非常危險的。此問題的可行解決方案是 setuid 機制。setuid (設定使用者 ID) 是一種特殊檔案屬性,可以指示系統根據特定使用者 ID 的標示來執行程式。請考慮使用 passwd 指令:


-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

您會看到 s,表示已針對使用者許可權設定 setuid 位元。藉由 setuid 位元,所有啟動 passwd 指令的使用者,皆能以 root 身分來執行。

13.1.2 setgid 位元

setuid 位元適用於使用者。不過,群組也有對等的內容:setgid。設定此位元的程式會以儲存時指定的群組 ID 來執行,無論啟動該程式的使用者為何。因此,在附帶 setgid 位元的目錄中,所有新建的檔案和子目錄會指定至目錄所屬的群組。請思考以下範例目錄:

drwxrws--- 2 tux archive 48 Nov 19 17:12  backup

您會看到 s,表示已針對群組許可權設定 setgid 位元。目錄的擁有者與 archive 群組的成員可存取此目錄。非此群組成員的使用者會「對應」到個別群組。所有已寫入檔案的有效群組 ID 將會是 archive。例如,以 archive 群組 ID 執行的備份程式,即使沒有 root 權限,仍然能夠存取此目錄。

13.1.3 黏貼位元

另外還有黏貼位元。視它屬於可執行程式或目錄而定,結果是有差別的。如果屬於程式,用此方法標示的檔案會載入 RAM,每次使用時就不需從硬碟取得該程式。這個屬性很少用,因為現在的硬碟速度都夠快了。如果此位元指定至目錄,就會禁止使用者刪除其他人的檔案。典型範例包括 /tmp/var/tmp 目錄:

drwxrwxrwt 2 root root 1160 2002-11-19 17:15 /tmp