V zásadě má každý soubor linuxového systému vlastníka a vlastnickou skupinu. Jak vlastníkům, členům vlastnických skupin, tak i všem ostatním lze povolit práva ke čtení, zápisu a vykonání souboru.

Skupinu lze v tomto případě definovat jako skupinu uživatelů, kteří mají společná práva. Například skupina pracující na projektu project3. Každý uživatel linuxového systému je členem alespoň jedné skupiny, obvykle users. V systému můžete mít mnoho různých skupin, ale zařadit vás do nich může pouze uživatel root. Do kterých skupin patříte, zjistíte příkazem groups.

Za určitých okolností jsou přístupová práva příliš omezující. Proto Linux umožňuje změnu identity uživatele či skupiny pro určitou akci. Například program passwd vyžaduje superuživatelská práva pro přístup do souboru /etc/passwd. Tento soubor totiž obsahuje důležité informace, jako domovské adresáře uživatelů a ID uživatelů a skupin. Povolit běžným uživatelům přístup k tomuto souboru by bylo nebezpečné. Možným řešením je mechanizmus setuid. setuid (set user ID) je speciální atribut souboru, který přikazuje systému, aby soubor spustil pod ID určitého uživatele. Například v případě příkazu passwd:

-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

Písmeno s značí, že byl pro uživatele nastaven setuid bit, tzn. všichni uživatelé, kteří příkaz passwd spustí, tak učiní pod uživatelem root.

Zatímco setuid se týká uživatelů, setgid poskytuje podobnou funkcionalitu pro skupiny. Program s nastaveným setgid se spouští vždy pod ID skupiny, pod kterou byl uložen. Pokud má setgid nastaven adresář, jsou všechny v něm nově vytvořené soubory a podadresáře přiřazeny skupině, které adresář patří. Například:

drwxrws--- 2 tux archive 48 Nov 19 17:12  backup

Písmeno s značí, že byl nastaven setgid bit. Vlastník a členové skupiny archive mohou k adresáři přistupovat. ID skupiny souborů zapsaných do tohoto adresáře bude archive.

K dispozici je také sticky bit. Chová se různě podle toho, zda jde o soubor nebo adresář. V případě souboru s nastaveným sticky bitem se soubor nahraje do RAM, aby nebylo nutné při každém jeho použití přistupovat na disk. Tento příznak se používal v dobách nepříliš rychlých disků a dnes je již používán velmi vzácně. V případě nastavení u adresáře zabraňuje mazání souborů ostatních uživatelů. Typickým příkladem jsou /tmp a /var/tmp:

drwxrwxrwt   2 root  root   1160 2002-11-19 17:15 /tmp

Tradiční unixový systém přístupových práv lze rozšířit pomocí ACL (Access Control Lists). ACL umožňují přiřazovat zvláštní oprávnění jednotlivým uživatelům či skupinám, kteří nejsou vlastníky souboru.

Existenci rozšířených přístupových práv lze zjistit jednoduše příkazem ls -l:

-rw-r--r--+ 1 tux project3 14197 Jun 21  15:03 Roadmap

Roadmap je vlastněn uživatelem tux ze skupiny project3. tux má práva ke čtení i zápisu. Skupina i ostatní uživatelé mohou tento soubor číst. Jediný rozdíl představuje znak +.

Přesný výpis práv získáte příkazem getfacl Roadmap:

# file: Roadmap
# owner: tux
# group: project3
user::rw-
user:jane:rw-       effective: r--
group::r--
group:djungle:rw-   effective: r--
mask::r--
other::---

První tři řádky obsahují stejné informace jako v případě normálního ls -l, tj. jméno souboru, vlastníka a vlastnickou skupinu. Řádky 4 až 9 obsahují ACL položky. V našem případě je přístup k zápisu a čtení udělen také uživateli jane (řádky 4 a 5). ACL tedy rozšiřují konvenční systém přístupových práv o dalšího uživatele. Podobně jsou zde rozšířena i práva skupiny djungle (řádka 6). Položka masky na řádce 8 redukuje efektivní přístupová práva uživatele jane a skupiny djungle pouze na práva ke čtení. Ostatní uživatelé nebo skupiny nemají přístupová práva k souboru žádná (řádka 9).

Výše uvedené informace jsou jen velmi povrchní, pokud vás ACL zajímají více, prostudujte si kapitolu 5 – „ACLs v Linuxu“ (↑Referenční příručka).