权限ACL

关注

原创最新推荐文章于 2026-06-12 17:24:17 发布 417 阅读 AI 写同款· GEO 优化 ›

Linux ACL权限管理 ACL的全称是 Access Control List (访问控制列表) ，一个针对文件/目录的访问控制列表。它在UGO权限管理的基础上为文件系统提供一个额外的、更灵活的权限管理机制。它被设计为UNIX文件权限管理的一个补充。ACL允许你给任何用户或用户组设置任何文件/目录的访问权限。本文将通过 ubuntu 16.04来进行演示。阅读详情

          
          权限ACL Access Control List

ACL可以更加灵活的设置权限，除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs 和ext4 文件系统具有ACL          
CentOS7 之前版本，默认手工创建的ext4 文件系统无ACL功 

能, 需手动增加(后挂载的是没有acl功能的，做系统挂载的是默认就有的)
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
tune2fs -l /dev/sdan(在centos6上可以查看分区详细信息) 
ACL生效顺序：所有者-自定义用户-自定义组-其他人，当匹配后不会在往下匹配后面的权限也是没有用的  

命令setfacl

格式 setfacl [option] [u:username:rwx/g:group:rwx] [文件]  
选项 

-m 是修改增加
-x 是删除 
-R 递归
-X 批量删除用文本
-M 批量添加用文本
d d:u:username:rwx dir 在目录下创建的文件默认都会有acl
–set 覆盖原来的acl
-b 清除所有的acl

查看文件的acl权限内容 getfacl

格式 getfacl file 

备份和恢复acl

主要的文件操作命令cp 和mv 都支持ACL ，只是cp 命令需要 

加上-p 参数。但是tar 等常见的备份工具是不会保留目录 

和文件的ACL 信息
getfacl -R /tmp/dir1 > acl.txt
setfacl -R -b /tmp/dir1
setfacl -R –set-file=acl.txt /tmp/dir1
setfacl –restore acl.txt
getfacl -R /tmp/dir1

操作

添加tom用户对123.TXT文档有rw权限
[root@centos6 app]# ll

total 4

-rw-r--r--. 1 root g1 68 Nov 18 11:13 123.txt

请注意权限后面有一个点
现在我们开始把tom用户有读写操作
[root@centos6 app]# setfacl -m u:tom:rw 123.txt

[root@centos6 app]# ll

total 8

-rw-rw-r--+ 1 root g1 68 Nov 18 11:13 123.txt

现在对比之前的详细信息发现权限并没有发生任何改变，但是后面的点变成了加号
 
这种有加号的就代表这文件里有ACL权限，用getacl命令查看文件
[root@centos6 app]# ll  

total 8  

rw-rw-r--+ 1 root g1 68 Nov 18 11:13 123.txt  
[root@centos6 app]# getfacl 123.txt 
 
# file: 123.txt  

# owner: root  

# group: g1  

user::rw-  这是所有者的权限  

user:tom:rw- 这是我们刚刚添加tom权限   

group::r--  这是所属组的权限 （这和原来的权限不一样）   

mask::rw-    权限掩码  

other::r-- 这是其他人权限
su tom切换到tom用户看看能写和读吗
[tom@centos6 app]$ cat 123.txt 

123  

[tom@centos6 app]$ echo 'hahahah' >> 123.txt  
说明我们增加权限成功了
让guo123用户加入g1组
[root@centos6 app]# id guo123

uid=1209(guo123) gid=1209(guo123) groups=1209
(guo123),1241(g1)

[root@centos6 app]# su guo123

[guo123@centos6 app]$ cat 123.txt 

123

123

123123123

[guo123@centos6 app]$ echo '123456' >> 123.txt
  
bash: 123.txt: Permission denied
我们用ls -l 看看到是读写的，但是现在只有读没有写的权限，说明用ls -l 看到到所属组的权限不是准确的，但是在acl列表中group 是只有r权限的说明所属组是有group这个权限的控制的。
用chmod 改所属组就是改变mask 掩码值 

改所属组权限

chmod g+rwx这是改mask值，并不是改group所属组的权限
setfacl -m group::rw file
[root@centos6 app]# setfacl -m group::rw 123.txt
   [root@centos6 app]# getfacl 123.txt 

# file: 123.txt

# owner: root 

# group: g1  

user::rw-  

user:tom:rw-  

group::rw-  

mask::rw-  

other::  ---

在添加某个组有读写权限

setfacl -m g:groupname:rw /file 
[root@centos6 app]# setfacl -m g:xiaowang:rw /app/123.txt 
[root@centos6 app]# getfacl 123.txt 

# file: 123.txt

# owner: root

# group: g1

user::rw-

user:tom:rw-

group::rw-

group:xiaowang:rw-

mask::rw-

other::---

组的权限是相加的如果一个用户有多个组， 这几个组都在acl有不同的权限，这个用户的权限就是这几个组的权限的累加之和。

mark 值详解

我们之前说用chmod 命令改所属组的时候并不是改真正的所属组而是改mark值。那现在改一下mask值不能读写
[root@centos6 app]# chmod g-r,g-w 123.txt 

[root@centos6 app]# ll

total 4

-rw-------+ 1 root g1 0 Nov 18 12:19 123.txt

[root@centos6 app]# getfacl 123.txt
  
# file: 123.txt

# owner: root

# group: g1

user::rw-

user:tom:rw-                    #effective:--- 有效的权限

group::rw-                      #effective:---

group:xiaowang:rw-              #effective:---

mask::---

other::---
当mark值没有权限的时候我们发现所属组和加入acl中有权限的用户和组，的后面都显示#effective — 这样的备注 说明mark的权限设定了所属组和加入acl用户和组的最高权限，如果mask中没有的权限但是三个选项有就给去掉，他们三是不能超过mask的权限的。mark的权限对所有者和其它人不会管。

更改mask的权限

setfacl -m mask:rwx /file
chmod g+rwx /file

递归增加目录acl属性

setfacl -R -m u:username:rwx  dir/

如何将文本中的ACL列表导入文件或者目录中

setfacl -M acl.txt /file
setfacl -X acl.txt file  批量删除
注意acl.txt这个名字可以随便起，但是里面的内容一定是这种格式
u:username:rwx
g：groupname：rwx

如何设置在目录里创建的文件或者目录都继承父目录的acl

setfacl -m d:u:uname:rwx /file/

如何删除单个acl条目

setfacl -x u:name:rwx file

覆盖原有的acl

–set 选项会把原有的ACL 项都删除，用新的替代，需要注 

意的是一定要包含UGO 的设置，不能象-m 一样只是添加 

ACL 就可以
setfacl –set u::rw,u:wang:rw,g::r,o::- file1

复制文件的acl权限给另一个文件添加

getfacl file1 | setfacl –set-file=- file2