Linux权限管理精要：从基础权限到安全实践指南

系统管理员必备的权限控制策略与深度解析

---

一、权限系统核心架构

1. 三级权限模型

bash
复制
-rw-r--r-- 1 user group 2048 May 8 21:45 file.txt 
 ↑  ↑  ↑  
 │  │  └─ 其他用户权限(r--)
 │  └──── 所属组权限(rw-)
 └─────── 所有者权限(r--)

• 权限符号：r(读)/w(写)/x(执行)
• 特殊权限位：SUID(4)/SGID(2)/Sticky Bit(1)

2. 数字表示法

权限	二进制	十进制
rwx	111	7
rw-	110	6
r--	100	4

---

二、关键操作命令手册

bash
复制
# 变更所有权 
chown user:group file.txt 
 
# 修改权限（递归目录）
chmod -R 750 /var/www 
 
# 设置SUID（使执行者临时获得所有者权限）
chmod u+s /usr/bin/script.sh 

---

三、高级权限管理策略

1. 访问控制列表（ACL）

bash
复制
# 授予特定用户额外权限 
setfacl -m u:testuser:rwx project/
 
# 查看ACL权限 
getfacl /data/shared 

2. 权限继承控制

• 使用setgid实现目录新建文件自动继承组权限
• 配置umask 0027限制默认权限（目录755/文件644）

---

四、安全加固最佳实践

✅ 最小权限原则

• Web目录权限配置：chown -R www-data:www-data /var/www && chmod -R 750 /var/www

✅ 特权程序防护

• 禁用非必要SUID：find / -perm /4000 -exec ls -ld {} ;

✅ 敏感文件防护

bash
复制
chattr +i /etc/passwd   # 禁止修改 
chmod 600 ~/.ssh/id_rsa # 密钥保护 

---

五、企业级场景解决方案

案例1：开发团队协作目录

bash
复制
mkdir /dev_project 
chmod 2775 /dev_project  # SGID自动继承组权限 
setfacl -d -m g:devteam:rwx /dev_project # 默认ACL 

案例2：日志文件安全存储

bash
复制
touch /var/log/audit.log 
chown root:adm /var/log/audit.log 
chmod 640 /var/log/audit.log 

📌 关键总结

1. 权限三要素：归属关系+基础权限+特殊标志
2. 生产环境必须遵循「按需授权」原则
3. 定期审计权限：auditd工具监控敏感文件变更
4. ACL扩展权限解决复杂场景需求

---

附录：权限速查表

场景	推荐权限	命令示例
私有配置文件	600	chmod u=rw,go= file
共享可执行脚本	755	chmod a+rx script.sh
团队协作目录	2770	chmod g+s,o-rwx dir
Web根目录	750	chmod R g-w,o-rwx /www

---

本指南覆盖从基础操作到企业级安全配置，通过权限分层控制与最小特权原则，可有效提升系统安全水位。建议结合SELinux/AppArmor实现纵深防御体系更多详细请：mir2.64game.com.cn查看