问题[file-permissions](server)

我最近购买了新的 WD My Cloud，并且能够使用 FTP 应用程序将文件从运行 OMV 的旧机器传输到新 NAS。然而，我似乎无法将 NAS 正确安装到我的 Ubuntu 笔记本电脑上以启用写入访问。我已经包含了文件的输出/etc/fstab（我还使用管理员用户的用户名和密码安装了 NAS，而不是guest），以及与文件权限相关的各种信息以及我认为不起作用的内容期望工作（复制操作）。理想情况下，我不想必须取得 root 权限才能写入 NAS，但我现在将其作为权宜之计。

~: cat /etc/fstab
# /etc/fstab: static file system information.
#
# Use 'blkid' to print the universally unique identifier for a
# device; this may be used with UUID= as a more robust way to name devices
# that works even if disks are added and removed. See fstab(5).
#
# <file system> <mount point>   <type>  <options>       <dump>  <pass>
# / was on /dev/nvme0n1p2 during installation
UUID=28376594-b7ab-42c1-bb8c-71a3c5a799e1 /               ext4    errors=remount-ro 0       1
# /boot/efi was on /dev/nvme0n1p1 during installation
UUID=E00C-C026  /boot/efi       vfat    umask=0077      0       1
/swapfile                                 none            swap    sw              0       0
//192.168.1.221/Public /media/big-turtle cifs rw,user,guest,vers=3.0

~: sudo umount /media/big-turtle
umount: /media/big-turtle: not mounted.

~: mount /media/big-turtle
mount: (hint) your fstab has been modified, but systemd still uses
       the old version; use 'systemctl daemon-reload' to reload.

~: cd /media/big-turtle
big-turtle: ll
total 4
drwxr-xr-x 2 dan  dan     0 Jul  4 13:16  ./
drwxr-xr-x 6 root root 4096 Jul  4 13:51  ../
drwxr-xr-x 2 dan  dan     0 Jul  4 13:25  Movies/
drwxr-xr-x 2 dan  dan     0 Jul  4 12:22 'Screen Art'/
drwxr-xr-x 2 dan  dan     0 Jul  4 10:26  Television/

big-turtle: whoami
dan

big-turtle: ll -n
total 4
drwxr-xr-x 2 1000 1000    0 Jul  4 13:16  ./
drwxr-xr-x 6    0    0 4096 Jul  4 13:51  ../
drwxr-xr-x 2 1000 1000    0 Jul  4 13:25  Movies/
drwxr-xr-x 2 1000 1000    0 Jul  4 12:22 'Screen Art'/
drwxr-xr-x 2 1000 1000    0 Jul  4 10:26  Television/

big-turtle: id
uid=1000(dan) gid=1000(dan) groups=1000(dan),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),121(lpadmin),131(lxd),132(sambashare)

big-turtle: mv ~/Downloads/Go.1999.720p.BluRay.999MB.HQ.x265.10bit-GalaxyRG\[TGx]/Go.mkv /media/big-turtle/Movies
mv: cannot create regular file '/media/big-turtle/Movies/Go.mkv': Permission denied

big-turtle: sudo mv ~/Downloads/Go.1999.720p.BluRay.999MB.HQ.x265.10bit-GalaxyRG\[TGx]/Go.mkv /media/big-turtle/Movies
[sudo] password for dan: 
mv: cannot create regular file '/media/big-turtle/Movies/Go.mkv': Permission denied

big-turtle: lsattr /media/big-turtle
lsattr: Operation not supported While reading flags on /media/big-turtle/Television
lsattr: Operation not supported While reading flags on /media/big-turtle/Movies
lsattr: Operation not supported While reading flags on /media/big-turtle/Screen Art

我有一个文件夹，我想与名为 的组的用户共享frx。我已经申请chmod g+s了该文件夹，但由于某种原因，SUID 位（对于 /home/frx 目录中的文件夹）出现了S。

> pwd
/home/frx

> ls -al
drwxrws---+  14 ferc frx    4096 Dec 24 23:20 .
drwxr-xr-x    8 root root   4096 Dec  2 12:48 ..
... 
drwxrwS---+  20 pi   frx    4096 Dec 19 18:50 views

从我读到的内容来看，如果用户只是打开一个文件，应该没有什么不同s。S但是，该组中的另一个用户frx无法查看或访问目录中的views文件，即使该组具有读/写权限。（他可以touch毫无问题地在 /home/frx 中归档。）为什么会这样？

如何更改s目录的 SUID 位？

我正在尝试使用以下 ansible 任务在我的 linux 机器上创建和更新目录权限，但它没有正确更改所有权：

例如：目录/home/xyz/xyz/{{ IDM }}和/home/{{ IDM }}所有权权限恢复为{{ IDM }}:{{ IDM }}

- name: create directory with loop
  file:
    path: "{{ item.dest }}"
    mode: "{{item.mode}}"
    owner: "{{ IDM }}"
    group: "{{ IDM }}"
    recurse: yes
    state: directory
  loop:
  - { dest: '/home/{{ IDM }}', mode: '0755', owner: root, group: root }
  - { dest: '/home/{{ IDM }}/.ssh', mode: '0700', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/to_xyz', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/to_xyz/known_customers', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/from_xyz', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/from_xyz/merchant_invoice', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/from_xyz/clearing', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/from_xyz/settlement_report', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/archive', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/archive/settlement_report', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/archive/clearing', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/{{ IDM }}/archive/dunning', mode: '0777', owner: "{{ IDM }}", group: "{{ IDM }}" }
  - { dest: '/home/xyz/xyz/{{ IDM }}', mode: '0755', owner: 'root', group: 'root' }

所以我们的服务器是这样设置的：
文件夹结构

/asic是我们大项目的文件夹，/200T是该大项目的子项目，下面的文件夹/200T是/lbh每个从事该子项目的工作人员的个人目录。/asic, /200T,/lbh都是由 root 创建的，然后由 root 通过和root重新配置它们的属性。和分别属于组和，而属于工作人员的用户帐户并属于组。chmod -Rchown -R/asic/200Trootasic200T/lbhlbhasic

这个想法是，所有工作的人都可以看到其中的内容，但/asic他们不能对这两个目录具有写访问权限——如果他们想创建一些东西，他们必须在自己的目录中执行此操作（等等） ）。当一个工作人员在他们自己的目录中创建内容时，我们希望同一子项目的其他工作人员能够读取该新内容，但不会意外修改它。例如，刚刚在. 子项目上的另一个人 ( )应该能够读取但不能写入它们。如果要修改它们，他必须将它们复制到自己的目录中，然后再这样做。/200Tasic200T/lbhlbhtestbench.v/results/asic/200T/lbhglj200T/asic/200T/lbh/testbench.v/asic/200T/lbh/resultsglj/asic/200T/glj

为了达到上面的目的，我们需要默认to lbhbe创建的目录drwxr-s---和文件的权限rwxr-s---，然而现实是这样的：
lbh和root创建的文件和文件夹

导致每个工作人员都能够写入每个人自己的文件夹和文件，这正是我们试图避免的。的umask是，普通用户的root是。0022umask0002

我的问题：

1. 为什么用户（like /lbh）在其个人目录（like）下创建的文件lbh忽略drwxr-s--- 了个人文件夹的权限，默认为 (d)rwxrwsr-x？
2. 是否有安全的方法让工作人员默认使用 (d)rwxr-s--- 创建文件和文件夹？要求每个用户每次都手动操作 chmod太麻烦了，我担心更改默认umask值会导致新的意外问题。

非常感谢！

编辑： lbh 和 root 创建的文件的文件夹结构和权限如下所示：

[lbh@<machine> lbh]$ ls -al
total 16
drwxr-s---. 4 lbh  200T 4096 Oct  1 02:40 .
drwxr-sr-x. 4 root 200T 4096 Oct  1 02:18 ..
drwxrwsr-x. 2 lbh  200T 4096 Oct  1 02:26 aaa_lbh
drwxr-sr-x. 2 root 200T 4096 Oct  1 02:26 aaa_root
-rw-rw-r--. 1 lbh  200T    0 Oct  1 02:38 file_lbh.txt
-rw-r--r--. 1 root 200T    0 Oct  1 02:40 file_root.txt
[lbh@<machine> lbh]$ pwd
/asic/200T/lbh
[lbh@<machine> lbh]$ cd ..
[lbh@<machine> 200T]$ ls -al
total 16
drwxr-sr-x. 4 root 200T 4096 Oct  1 02:18 .
drwxr-x---. 3 root asic 4096 Oct  1 02:16 ..
drwxr-sr-x. 2 root 200T 4096 Oct  1 02:18 aaa
drwxr-s---. 4 lbh  200T 4096 Oct  1 02:40 lbh
[lbh@<machine> 200T]$ pwd
/asic/200T
[lbh@<machine> 200T]$ 

目录和getfacl文件的结果如下：

[lbh@<machine> Desktop]$ getfacl /asic
getfacl: Removing leading '/' from absolute path names
# file: asic
# owner: root
# group: asic
user::rwx
group::r-x
other::---

[lbh@<machine> Desktop]$ getfacl /asic/200T/
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/
# owner: root
# group: 200T
# flags: -s-
user::rwx
group::r-x
other::r-x

[lbh@<machine> Desktop]$ getfacl /asic/200T/lbh
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/lbh
# owner: lbh
# group: 200T
# flags: -s-
user::rwx
group::r-x
other::---

[lbh@<machine> Desktop]$ getfacl /asic/200T/lbh/aaa_lbh/
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/lbh/aaa_lbh/
# owner: lbh
# group: 200T
# flags: -s-
user::rwx
group::rwx
other::r-x

[lbh@<machine> Desktop]$ getfacl /asic/200T/lbh/aaa_root/
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/lbh/aaa_root/
# owner: root
# group: 200T
# flags: -s-
user::rwx
group::r-x
other::r-x

[lbh@<machine> Desktop]$ getfacl /asic/200T/lbh/file_lbh.txt 
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/lbh/file_lbh.txt
# owner: lbh
# group: 200T
user::rw-
group::rw-
other::r--

[lbh@<machine> Desktop]$ getfacl /asic/200T/lbh/file_root.txt 
getfacl: Removing leading '/' from absolute path names
# file: asic/200T/lbh/file_root.txt
# owner: root
# group: 200T
user::rw-
group::r--
other::r--

[lbh@<machine> Desktop]$ touch hello.txt
[lbh@<machine> Desktop]$ mkdir hi 
[lbh@<machine> Desktop]$ ls -al
total 12
drwxr-xr-x.  3 lbh lbh 4096 Oct  9 17:28 .
drwx------. 36 lbh lbh 4096 Oct  9 17:21 ..
-rw-rw-r--.  1 lbh lbh    0 Oct  9 17:27 hello.txt
drwxrwxr-x.  2 lbh lbh 4096 Oct  9 17:28 hi
[lbh@<machine> Desktop]$ getfacl hi
# file: hi
# owner: lbh
# group: lbh
user::rwx
group::rwx
other::r-x

[lbh@<machine> Desktop]$ getfacl hello.txt 
# file: hello.txt
# owner: lbh
# group: lbh
user::rw-
group::rw-
other::r--

[lbh@<machine> Desktop]$ 

SELINUX：如何使子文件夹规则优先级高于父规则，例如：

/home/kevinw/www/kp/storage(/.*)? 所有文件 system_u:object_r:httpd_sys_rw_content_t:s0

输给/home/kevinw/www(/.*)？所有文件 system_u:object_r:httpd_user_content_t:s0

或者我的概念是错误的，因为它已经设置在父母身上？

任何帮助表示赞赏

我觉得问起来有点愚蠢，因为我觉得这是一个非常基本的问题，但无论如何我还没有找到解决方案：

我有一个 Linux 数据服务器和几个使用 NFS 在此数据服务器上安装文件夹的工作站。该系统的设置方式是用户在服务器和工作站上都​​具有相同的 uid。没有集中的用户管理，但帐户是相应计算机上的本地帐户。

现在我想通过为特定目的创建组并将相应的用户添加到服务器上的这些组来控制数据服务器上的文件访问。但是，当在工作站上安装目录时，我面临的问题是组只存在于服务器上，而工作站似乎不知道特定用户是否是服务器上某个组的成员。我想避免在每个工作站上创建所有组，而只在服务器上管理它们。这可能吗？

提前感谢您的任何回复！

我想要一个共享文件夹/data，多个用户可以在其中放置他们的数据集以供其他人使用。

我已按照此答案中的说明进行操作，所以现在我有：

ciprian@server /data $ ll .. | grep data
drwxrwsr-t   3 ciprian datasets  4096 Apr 28 09:53 data

ciprian@server /data $ ll
total 4
-rw-r----- 1 stan    datasets    0 Apr 28 09:53 stan-test
drwxr-s--- 2 ciprian datasets 4096 Apr 28 09:27 tdir
-rw-r----- 1 ciprian datasets    0 Apr 28 09:26 cip-test

所以两个用户stan都有ciprian一个测试文件，拥有所有者$USER:datasets和 0640 权限。父目录/data属于ciprian:datasets并具有权限3775/drwxrwsr-t。如果我理解正确，这意味着创建的所有文件都属于组datasets，并且只能由其各自的所有者删除。此外，由于每个文件都有0640权限，用户可以读取彼此的文件，但不能写入（6 4 0）。

那么为什么可以ciprian删除stan-test呢？

请注意，stan无法删除cip-test，因为它们会收到“不允许操作”错误。

是因为ciprian是所有者/data吗？

我运行以下命令来备份我的主目录：

$ rsync -ahv \
      --info=progress2 \
      --partial \
      --exclude=.cache/ \
      --exclude=.miniconda3/ \
      --exclude=.thunderbird/ \
      --exclude=.vscode/ \
      --exclude=.cargo/ \
      /home/tim \
      /run/media/tim/Volume/Backups/Tim/2021-04-15/

但是，当命令完成时，我注意到我的所有文件都设置了可执行标志！例如，当查看我的Cheatsheets-directory 时：

$ ls -l /home/tim/Cheatsheets/
total 3932
-rw-r--r-- 1 tim tim 2056316 11. Dez 14:43 comprehensive-latex-symbol-list.pdf
-rw-r--r-- 1 tim tim  112655 16. Feb 2019  EmacsCheatsheet.pdf
-rw-r--r-- 1 tim tim  186060  7. Jun 2019  GoogleColabShortcuts.png
-rw-r--r-- 1 tim tim  217283 12. Dez 23:44 JupyterLabShortcuts.pdf
-rw-r--r-- 1 tim tim   28664  3. Mai 2019  JupyterNotebookCheatsheet.pdf
-rw-r--r-- 1 tim tim   82953 25. Jan 2019  LaTeX_Cheatsheet.png
-rw-r--r-- 1 tim tim  261478 22. Sep 2018  LaTeXMathSymbols.pdf
-rw-r--r-- 1 tim tim  574022 24. Okt 2018  LTspiceShortcuts.pdf
-rw-r--r-- 1 tim tim     634 24. Okt 2018  MagitWorkflow.org
-rw-r--r-- 1 tim tim   17754 24. Okt 2018  MagitWorkflow.pdf
-rw-r--r-- 1 tim tim   60448 24. Dez 2018  NeotreeCheatsheet.png
-rw-r--r-- 1 tim tim  169752 18. Feb 2019  PCRE_Cheatsheet.png
-rw-r--r-- 1 tim tim  146499 21. Mär 2019  VSCodeShortcuts.pdf
-rw-r--r-- 1 tim tim   79881  6. Nov 2018  WiresharkShortcuts.pdf

而在备份目录中：

$ ls -l /run/media/tim/Volume/Backups/Tim/2021-04-15/tim/Cheatsheets/
total 5888
-rwxr-xr-x 1 tim tim 2056316 11. Dez 14:43 comprehensive-latex-symbol-list.pdf
-rwxr-xr-x 1 tim tim  112655 16. Feb 2019  EmacsCheatsheet.pdf
-rwxr-xr-x 1 tim tim  186060  7. Jun 2019  GoogleColabShortcuts.png
-rwxr-xr-x 1 tim tim  217283 12. Dez 23:44 JupyterLabShortcuts.pdf
-rwxr-xr-x 1 tim tim   28664  3. Mai 2019  JupyterNotebookCheatsheet.pdf
-rwxr-xr-x 1 tim tim   82953 25. Jan 2019  LaTeX_Cheatsheet.png
-rwxr-xr-x 1 tim tim  261478 22. Sep 2018  LaTeXMathSymbols.pdf
-rwxr-xr-x 1 tim tim  574022 24. Okt 2018  LTspiceShortcuts.pdf
-rwxr-xr-x 1 tim tim     634 24. Okt 2018  MagitWorkflow.org
-rwxr-xr-x 1 tim tim   17754 24. Okt 2018  MagitWorkflow.pdf
-rwxr-xr-x 1 tim tim   60448 24. Dez 2018  NeotreeCheatsheet.png
-rwxr-xr-x 1 tim tim  169752 18. Feb 2019  PCRE_Cheatsheet.png
-rwxr-xr-x 1 tim tim  146499 21. Mär 2019  VSCodeShortcuts.pdf
-rwxr-xr-x 1 tim tim   79881  6. Nov 2018  WiresharkShortcuts.pdf

从rsyncs 手册页中，我看到-a我使用的标志是 的别名-rlptgoD，-p应该保留权限。这个命令我哪里出错了？

我只是想在 NFS4 客户端和 NFS4 服务器之间“按用户名映射”，当每个给定用户名具有不同的 uid 时，无需设置 Kerberos。

情况：我的Linux机器（centos 7）访问各种NFS4服务器（运行centos 7）

• 没有可用的 Kerberos 或 NIS 或 AD
• 每个服务器都有不同的 dns 域（都与我的 linux box 的 DNS 域不同）
• 服务器和我的 linux 客户端具有不同步的 UID（每个用户名“oracle”具有不同的本地 uid）
• echo N > /sys/module/nfsd/parameters/nfs4_disable_idmapping在服务器和客户端上完成
• 名称映射守护进程 rpcidmapd 在客户端和服务器上启动
• 客户端/etc/idmapd.conf为用户提供静态映射
• 安装为 nfs4（sec=sys，因为没有集中的 Kerberos/etc）可以工作
• ls -l显示“正确”的用户名和组名
• 但是权限被忽略了，我必须设置 world rwx 来访问/遍历/写入文件，为什么？

背景问题：

• 哪一方（客户端或服务器）应该将名称映射到 id？

• 我的客户端上的 idmapd.conf 是否正确（例如远程 NFS4 服务器 DNS 域是 eh.loc）：

   [General]
   Verbosity = 7
   [Mapping]
   [Translation]
   Method = static
   [Static]
   [email protected] = oracle
   [email protected] = oinstall
   [email protected] = dba
  

我在这里是因为我的服务器上有一个非常奇怪的行为，并且我曾经调查 AH00035 错误几个小时。

在我的服务器上，如果我创建一个简单的 php 文件index.php

<? php echo "Hello world" ?>

我可以到达它。

当我使用 sftp 上传的完全相同的文件时，我收到 AH00035 错误。但是当我复制文件并应用与以前完全相同的权限和用户组时，我不再有错误了。

这是场景：

1 - 使用 sftp 上传文件

2 - 检查文件的权限

-rw-r--r--.  1 SFTP_JOR_USER sftp_users index.php

3 - 将文件移动到我的 html 目录

4 - 试图访问文件：AH00035

5 - 更改用户

 chown apache:apache index.php

6 - 试图访问文件：AH00035

这是奇怪的部分

7 - 复制文件

cp index.php index2.php

8 - 检查权限

-rw-r--r--.  1 root   root index2.php

9 - 访问 index2.php : Hello world (NICE !)

10 - 尝试在根目录下创建 index.php

chown root:root index.php

11 - 试图访问 index.php：AH00035

12 - 更改 index.php 和 index2.php 用户

chown apache:apache index.php
chown apache:apache index2.php

所以，最后，我有完全相同的文件，具有完全相同的内容和完全相同的权限。

一个导致 AH00035 错误。另一个是可以访问的。

我真的不明白这里发生了什么。是因为通过 sftp 上传它们吗？？？

我真的不想复制我的文件，然后重命名它们，然后每次我对我的开发进行更改时更改用户组。

提前致谢