Реализация ACL на Linux?

Question

[WSGlebKavash]

В Windows есть огромный набор возможностей для управления доступом к файлам и папкам:

Однако в дистрибутивах Linux есть только chown, chmod и chroot, которые позволяют настроить минимальное управления правами доступа.
Как в ubuntu (да и других дистрибутивах) настроить полноценное управление правами доступа?

Answer 1

[SVM]

тыкс1 тыкс 2
если и этого мало - тыкс AppArmor (ту-та вкраце на русском)

Comments

[WSGlebKavash]

SOTVM, Круто! Разршения есть.
А что на счёт принудительного запрета?

[SVM]

WSGlebKavash,
Я вам ссылки дал? Вот и курите :)

[WSGlebKavash]

SOTVM, Большое спасибо за помощь, будем пробовать.

Answer 2

[Александр Карабанов]

Access Control Lists

chattr

Comments

[WSGlebKavash]

Александр Карабанов, Большое спасибо за помощь, будем пробовать.

Answer 3

[CityCat4]

Глеб, открой для себя getfacl/setfacl :)
Ну и chattr до кучи, хотя он не об управлении правами для юзеров

Comments

[WSGlebKavash]

CityCat4, Идея такова.
Есть группа "Линуксойды". В ней сидят два пользователя: Вяся и Петя. Им доступна папка /share/linux101/grp. Допустим вася провинился.
Как ему ограничить доступ, чтоб у всех остальный членов группы "Линуксойды" остался доступ к папке. В Windows это делается в два клика, а как в Linux?

[shurshur]

WSGlebKavash, перевести Васю в группу "виновные".

[CityCat4]

WSGlebKavash, Блин, Глеб, это даже без setfacl делается. Есть группа "linux-zonked", в ней vasya и petya. У группы права на папку. Если vasya наприме попался на любви к windows, его просто удаляют из группы и все.
Можно пример посложнее - есть группа zonked у которой права на запись и группа punished у которой только по чтению. Здесь уже применяется setfacl. Васю переместили в другую шруппу и у него изменился доступ :)

[WSGlebKavash]

CityCat4,

его просто удаляют из группы и все

Хочется это сделать на уровне одной папки, НЕ удаляя из группы.
Как?

[Руслан Федосеев]

а потом вдруг поймется, что это надо сделать на 17 серверах и 36 папках....

[CityCat4]

WSGlebKavash, так же как сделал бы на винде. Чтобы не удалять из группы тебе нужно сделать что? Правильно, накинуть на папку ACL, запрещающий юзеру Vasya все, то есть ACL с правами "никаких прав". Это разумеется глупость, проверять такой вариант в не проверял, но почему бы ему не сработать?

[WSGlebKavash]

CityCat4, Я просто искал запрещающие ACL'ы, но их нет.
Огромное спасибо за ответ и поддержку.

[CityCat4]

И в винде нет "запрещающих" ACL. Чтобы запретить, нужно разрешить "ничего" :)