Операционные системы семейства Unix, такие как Linux, отличаются от большинства остальных тем, что они не только многозадачные, но и многопользовательские.
Если вы немного продвинуты в Windows, то можете мне возразить. Ведь в десктопных версиях Windows тоже можно создать учетные записи разных пользователей. Но это не делает Windows многопользовательской. Только серверные версии Windows являются многопользотельскими.
Так что же тогда означает термин многопользовательская операционная систему? Несколько разных пользователей могут работать с компьютером в одно и то же время. Компьютер обычно имеет только один набор клавиатуры и мыши, тем не менее это не мешает использовать его разными людьми в один и тот же момент времени.
Например, если компьютер подключен к локальной сети или к интернету, разные люди могут с помощью ssh получить доступ к консоли операционной системы и работать с компьютером. Но и это не предел. Удаленный доступ можно получить и к графической среде Linux и работать с приложения, которые будут отображаться на мониторе удаленного компьютера. Несколько людей могут одновременно работать с одним и тем же компьютером. Графическая оболочка X Window в Linux поддерживает такой режим работы.
Возможность многопользовательской работы глубоко интегрирована в архитектуру операционной системы Linux. Дело в том, что Linux является подобной Unix. А теперь имеет смысл представить окружение, в котором был разработан Unix. За годы до того, как компьютеры стали «персональными», они были огромными, дорогими и «общими». Типичная компьютерная система университета состояла из огромной вычислительной машины, расположенной в одном из зданий, и множества терминалов, расположенных по всей территории университета. Каждый терминал был соединен с огромной вычислительной машиной, которая поддерживала работу многих пользователей в одно и тоже время.
Чтобы сделать подобное реальным был разработан метод защиты пользователей друг от друга. Ведь нельзя было допустить, чтобы действия одного пользователя привели к остановке всех вычислений и «крушению» вычислительной системы. Также нельзя было позволять разным людям вмешиваться в файлы, которые им не принадлежат.
Чтобы разобраться в основах разделения прав доступа и разрешений различных пользователей, познакомимся с командами:
- chmod — смена разрешений доступа к файлу
- su — временно стать «суперпользователем» root
- sudo — выполнить команду с правами «суперпользователя»
- chown — изменить владельца файла
- chgrp — изменить группу владельца файла
Разрешения файлов
В операционной системе Linux каждому файлу и директории заданы разрешения доступа для владельца файла, членов группы владельца файла и всех остальных пользователей. Права могут быть заданы на чтение, запись и выполнение (запуск файла, содержащего программный код) файла.
Для просмотра настроек разрешений для файла можно воспользоваться командой ls с ключом -l. На примере показан фрагмент детального вывода списка файлов из директории /etc.
На примере мы видим, что файл tcsd.conf:
- имеет владельца tss
- пользователь tss может осуществлять чтение и запись файла
- имеет группу владельца tss
- члены группы tss не имеют доступа к файлу
- все остальные не имеют доступа к файлу
А теперь рассмотрим как представляется информация о разрешениях в выводе прав доступа. Она содержит символ, определяющий тип файла. Далее идет три набора из трех символов, которые представляют права доступа. Первый символ указывает право чтения, второй записи, третий выполнения или входа. Первый набор из трех символов указывает права доступа владельца файла, второй — права группы файла, а последний указывает права доступа файла для всех остальных пользователей.
chmod
Сменить разрешения доступа к файлу или директории можно с помощью команды chmod. Для этого нужно указать желаемые настройки прав доступа для файла, файлов или директории, которые нужно изменить. Есть два способа указать разрешения доступа. Сейчас мы рассмотрим только один из них, основанный на указании разрешений всех типов, записанных в восьмеричной нотации.
Можно представить настройки прав как последовательность бит. Именно так их представляет операционная система. Вот как это работает.
|
|
rwx rwx rwx = 111 111 111 rw- rw- rw- = 110 110 110 rwx --- --- = 111 000 000 |
и так далее…
|
|
rwx = 111 в двоичной нотации = 7 в восьмеричной и десятичной rw- = 110 в двоичной нотации = 6 в восьмеричной и десятичной r-- = 101 в двоичной нотации = 5 в восьмеричной и десятичной r-- = 100 в двоичной нотации = 4 в восьмеричной и десятичной -wx = 011 в двоичной нотации = 3 в восьмеричной и десятичной -w- = 010 в двоичной нотации = 2 в восьмеричной и десятичной --x = 001 в двоичной нотации = 1 в восьмеричной и десятичной --- = 000 в двоичной нотации = 0 в восьмеричной и десятичной |
Теперь, если мы представим каждую из трех групп прав доступа (владелец, группа, остальные) как отдельную цифру, у нас появится достаточно простой и удобный вид записи всех возможных разрешений. Например, если мы желаем задать файлу file разрешения на чтение и запись владельцу и сделать его недоступным для всех остальных (включая членов группы), мы можем выполнить команду:
|
|
[mikhail@localhost test]$ chmod 600 some_file |
Рассмотрим наиболее применимые разрешения доступа для файлов. Те, что начинаются с цифры 7 используются для программ (они разрешают выполнение), а остальные для других видов файлов.
- 777 —
rwxrwxrwx — отсутствуют любые ограничения, каждый может выполнять с файлом любые действия. Обычно это нежелательный вариант.
- 755 —
rwxr-xr-x — владелец имеет полный доступ, все остальные могут только читать и выполнять файл. Такие права устанавливаются на программы, используемые всеми пользователями.
- 700 —
rwx------ — только владелец имеет полный доступ к файлу. Никто другой не имеет никакого доступа к файлу. Это разрешение используется для программ, которые используются только владельцем и должны быть недоступны остальным пользователям.
- 666 —
rw-rw-rw- —все пользователи имеют права на чтение и запись файла.
- 644 —
rwxr--r-- —владелец имеет разрешения чтения и записи файла. Все остальные пользователи могут лишь читать файл. Используется для файлов с данными, к которым нужно открыть доступ на чтение для всех пользователей, но изменять данные может только владелец.
- 600 —
rw------- —только владелец может читать и записывать файл. Никто другой не имеет доступа к файлу. Используется для частных файлов.
Разрешения директорий
При помощи команды chmod также можно изменять разрешения доступа к директориям. Также возможно использование восьмеричной нотации для задания прав доступа, но значения атрибутов r, w и x отличаются:
- r — позволяет просматривать содержимое директории (при условии что также задан атрибут x)
- w — позволяет создавать, удалять и переименовывать файлы и директории внутри директории (при условии что также задан атрибут x)
- x — позволяет войти в директорию (например, с помощью команды cd)
Для директорий наиболее часто используются следующие разрешения доступа:
- 777 —
rwxrwxrwx — отсутствуют любые ограничения, каждый может создавать и удалять файлы и директории внутри директории. Нежелательный вариант.
- 755 —
rwxr-xr-x — владелец имеет полный доступ, все остальные могут входить в директорию и просматривать ее содержимое. Такие права устанавливаются на директории, к которым нужно открыть общий доступ к другим пользователям.
- 700 —
rwx------ — только владелец имеет полный доступ к директории. Никто другой не имеет никакого доступа к ней и не может даже войти в нее. Используется для частных директорий, когда нужно запретить к ним любой доступ любых других пользователей.
Становимся суперпользователем
Для выполнения важных задач по администрированию системы очень часто требуются права суперпользователя root. Но постоянная работа с такими правами может негативно повлиять на нервную систему. Ведь суперпользователь имеет неограниченный доступ, а следовательно ошибок допускать нельзя. Чем больше привилегий, тем больше ответственность. Поэтому намного проще и безопаснее работать в учетной записи обычного пользователя и получать права root только, когда они необходимы. Мы ведь не хотим по ошибке разрушить свой дом имея «суперсилы» 🙂
Во многих дистрибутивах Linux существуют программы, которые могут дать временный доступ к «божественным» привилегиям root, после чего вновь можно продолжить работу в роли простого смертного не беспокоясь о последствиях.
Одна из таких программ su. Она позволяет заменить свои права на права выбранного пользователя для выполнения необходимых задач, а затем вернуть свои права обратно. Сейчас мы рассмотрим только замену своих прав, на права суперпользователя root. Чтобы получить права суперпользователя root нужно ввести команду su, после чего пароль от учетной записи root. Если пароль введен верно, то произойдет переключения прав и в конце приглашения Linux Shell знак доллара ($) изменится на «решетку» (#), которая обозначает работу под правами суперпользователя. После этого можно выполнить необходимые команды. Для завершения сеанса работы с правами root нужно набрать команду exit. Будет осуществлен возврат к привилегиям собственной учетной записи, а знак «решетки» (#) изменится на знак доллара ($).
В некоторых дистрибутивах Linux, в основном Ubuntu, используется другой подход. Вместо переключения в режим суперпользователя с помощью команды su, используется команда sudo. С помощью команды sudo обычные пользователи могут с правами суперпользователя выполнять необходимые им команды, введя перед sudo перед командой. После этого будет запрошен пароль, но не суперпользователя, а от текущей учетной записи. Кроме того, с помощью sudo можно дать возможность отдельным пользователям выполнять с привилегиями root только определенные команды (например дать возможность перезапускать компьютер), там самым ограничив их действия.
На тестовой виртуальной машине, которую мы создали в самом начале, мы не сможем поэкспериментировать с sudo 🙁 Так как для этого вначале нужно произвести необходимые настройки и дать нашему пользователю право на использование sudo. О том как это сделать можно прочитать в справочном материале к программе sudo.
Если же все же попытаться выполнить команду sudo с привилегиями обычного пользователя, мы получим сообщение, что наш пользователь не указан в списке пользователей, которым это разрешено, а о нашей попытке будет доложено в «рапорте». В Linux безопасность находится на высоком приоритете и все попытки неудачного доступа журналируются в логах.
Смена владельца файла
Сменить владельца файла или директории можно с помощью команды chown. Чтобы сменить владельца файла нужны привилегии суперпользователя, которые можно получить с помощью команд su или sudo. Используя su, после выполнения команды chown важно не забыть выполнить команду exit, чтобы «вернуть» права суперпользователя root и продолжить работу под своими правами.
Например, мы хотим сменить владельца файла test.txt c mikhail на root. Для этого выполним следующие команды:
|
|
[mikhail@localhost test]$ su Password: [root@localhost test]# chown root test.txt [root@localhost test]# exit exit [mikhail@localhost test]$ |
С помощью команды ls -la мы можем проверить, что владелец файла действительно изменен.
Как убедились все прошло успешно 🙂
Смена группы вдадельца
Группа владельца файла или директории меняется с помощью команды chgrp. Для смены группы владельца также нужны привилегии суперпользователя, поэтому для их получения нужно воспользоваться командой su или sudo.
Например, мы хотим сменить группу владельца файла test.txt c mikhail на root. Для этого выполним следующие команды:
|
|
[mikhail@localhost test]$ su Password: [root@localhost test]# chgrp root test.txt [root@localhost test]# exit exit [mikhail@localhost test]$ |
С помощью команды ls -la мы можем проверить, что группа файла действительно изменена.
Мы познакомились лишь с малой частью мнопользовательского режима в Linux и лишь базовым использованием нескольких команд. Более подробную информацию о работе этих команд рекомендую найти самостоятельно в документации и страницах руководства к этим командам.
