Fundamentalmente, cada archivo de un sistema de archivos Linux pertenece a un usuario o a un grupo. Tanto estos grupos exclusivos como todos los demás pueden tener autorización para modificar, leer o ejecutar estos archivos.

Un grupo, en este caso, puede definirse como un conjunto de usuarios conectados con algunos derechos colectivos. Por ejemplo, supongamos que llamamos a un grupo que trabaja en un proyecto concreto el nombre de proyecto3. Cada usuario de un sistema Linux pertenece al menos a un grupo exclusivo, normalmente users. Puede haber tantos grupos como necesite un sistema pero sólo el usuario Root puede añadirlos. Todos los usuarios pueden emplear el comando groups para averiguar a qué grupo pertenecen.

En algunos casos, los permisos de acceso pueden ser demasiado restrictivos. Por tanto, Linux cuenta con ajustes adicionales que permiten el cambio temporal del usuario y la identidad del grupo actuales para una acción en concreto. Por ejemplo, el programa passwd normalmente necesita permisos de usuario Root para acceder a /etc/passwd. Este archivo contiene información importante como los directorios personales de los usuarios o los ID de usuario y de grupo. Por tanto, un usuario normal no podría cambiar passwd, porque sería demasiado peligroso otorgar a todos los usuarios acceso directo a este archivo. Una solución posible a este problema es el mecanismo setuid. setuid (definir ID de usuario) es un atributo de archivo especial que indica al sistema que debe ejecutar los programas marcados con un ID de usuario en concreto. Considere el comando passwd:

-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

Puede ver que la s indica que el bit setuid está definido para el permiso del usuario. Mediante el bit setuid, todos los usuarios que inician el comando passwd lo ejecutan como usuario Root.

El bit setuid se aplica a los usuarios. Sin embargo, hay también una propiedad equivalente para grupos: el bit setgid. Un programa para el que se ha definido este bit se ejecuta con el ID de grupo con el que se ha guardado, sin importar el usuario que lo inicia. Por tanto, en un directorio con el bit setgid, todos los archivos o subdirectorios recién creados se asignan al grupo al que pertenece el directorio. Considere el directorio de ejemplo siguiente:

drwxrws--- 2 tux archive 48 Nov 19 17:12
   backup

Puede observar que la s indica que el bit setgid está definido para el permiso de grupo. El propietario del directorio y los miembros del grupo archive pueden acceder a este directorio. Los usuarios que no sean miembros de este grupo se “asignan” al grupo respectivo. El ID de grupo vigente de todos los archivos escritos será archive. Por ejemplo, un programa de copia de seguridad que se ejecuta con el ID de grupo archive es capaz de acceder a este directorio incluso sin privilegios de usuario Root.

Existe también el bit adhesivo. Es distinto si pertenece a un programa o a un directorio ejecutable. Si pertenece a un programa, un archivo marcado de esta forma se carga en la RAM para evitar la necesidad de obtenerlo del disco duro cada vez que se usa. Este atributo apenas se utiliza porque los discos duros modernos son lo suficientemente rápidos. Si este bit se asigna a un directorio, impide que los usuarios supriman los archivos de otros usuarios. Los ejemplos típicos incluyen los directorios /tmp y /var/tmp:

drwxrwxrwt   2 root  root   1160 2002-11-19 17:15 /tmp
  

El concepto tradicional de permiso para los objetos del sistema de archivos de Linux, como los archivos o directorios, se puede ampliar mediante las ACL (listas de control de acceso). Estas listas permiten la asignación de permisos para usuarios o grupos individuales distintos al propietario o grupo propietario originales de un objeto del sistema de archivos.

Los archivos o directorios que llevan permisos de acceso extendidos pueden detectarse con un comando sencillo como ls -l:

-rw-r--r--+ 1 tux proyecto3 14197 Jun 21  15:03 Roadmap

Roadmap pertenece a tux que a su vez pertenece al grupo proyecto3. tux tiene acceso tanto de lectura como de escritura a este archivo. Tanto el grupo como el resto de usuarios cuentan con acceso de lectura. La única diferencia que distingue este archivo de uno sin ACL es el signo + adicional en la columna que incluye los bits de permisos.

Obtenga información acerca de la ACL ejecutando getfacl Roadmap:

# file: Roadmap
# owner: tux
# group: proyecto3
user::rw-
user:jane:rw-       effective: r--
group::r--
group:djungle:rw-   effective: r--
mask::r--
other::---

Las primeras tres líneas de la salida no retienen ninguna información que no esté disponible con ls -l. Estas líneas sólo detallan el nombre de archivo, el propietario y el grupo que lo posee. De la línea 4 a la 9 se retienen las entradas de la ACL. Los permisos de acceso convencionales representan un subconjunto de los posibles al usar las ACL. La ACL de ejemplo otorga acceso de lectura y escritura al propietario del archivo además de al usuario jane (líneas 4 y 5). El concepto convencional se ha expandido permitiendo el acceso a un usuario adicional. Lo mismo se aplica a la gestión del acceso de grupo. El grupo que posee el archivo tiene permisos de lectura (línea 6) y el grupo djungle tiene permisos de lectura y escritura. La entrada mask en la línea 8 reduce los permisos vigentes para el usuario jane y el grupo djungle al acceso de lectura. El resto de usuarios y grupos no obtienen ningún tipo de acceso al archivo (línea 9).

En este documento sólo se ha ofrecido información muy básica. Puede obtener información más detallada acerca de las ACL en el Capítulo 24, Listas de control de acceso en Linux.