Abbildung 35.1, „Minimale ACL: ACL-Einträge vs. Berechtigungsbits“ und Abbildung 35.2, „Erweiterte ACL: ACL-Einträge vs. Berechtigungsbits“ illustrieren die beiden auftretenden Fälle einer minimalen und einer erweiterten ACL. Die Abbildungen gliedern sich in drei Blöcke. Links die Angaben zum Typ der ACL-Einträge, in der Mitte eine Beispiel-ACL und rechts die entsprechenden Berechtigungsbits, wie sie auch ls -l anzeigt. In beiden Fällen werden die Berechtigungen der owner class dem ACL-Eintrag owner zugeordnet. Die Berechtigungen der other class werden ebenfalls dem entsprechenden ACL-Eintrag zugeordnet. Die Zuordnung der Berechtigungen der group class ist jedoch in beiden Fällen unterschiedlich.

Abbildung 35.1. Minimale ACL: ACL-Einträge vs. Berechtigungsbits

Im Fall einer minimalen ACL — ohne mask-Eintrag — werden die Berechtigungen der group class Berechtigungen dem ACL-Eintrag owning group zugeordnet. Diese Variante wird in Abbildung 35.1, „Minimale ACL: ACL-Einträge vs. Berechtigungsbits“ dargestellt. Im Fall einer erweiterten ACL — mit mask-Eintrag — werden die Berechtigungen der group class dem mask-Eintrag zugeordnet, wie in Abbildung 35.2, „Erweiterte ACL: ACL-Einträge vs. Berechtigungsbits“ dargestellt.

Abbildung 35.2. Erweiterte ACL: ACL-Einträge vs. Berechtigungsbits

Durch diese Art der Zuordnung ist die reibungslose Interaktion von Anwendungen mit und ohne ACL-Unterstützung gewährleistet. Die Zugriffsrechte, die mittels der Berechtigungsbits festgelegt wurden, sind die Obergrenze für alle anderen „Feineinstellungen“, die per ACL gemacht werden. Werden Berechtigungsbits geändert, spiegelt sich dies in der ACL wider und umgekehrt.

Das folgende Beispiel erläutert die Handhabung von Access ACLs:

Bevor Sie ein Verzeichnis anlegen, können Sie mittels des umask-Befehls festlegen, welche Zugriffsrechte gleich bei der Erstellung eines Dateisystemobjekts maskiert werden sollen. Der Befehl umask 027 beispielsweise legt die Vorgabe für die Benutzerrechte folgendermaßen fest: Der Besitzer der Datei behält sämtliche Rechte (0), die Besitzergruppe darf nicht schreibend auf die Datei zugreifen (2) und alle anderen Benutzer erhalten keinerlei Zugriff (7). Die Maskierung der Berechtigungsbits durch den umask-Befehl bedeutet, dass die angegebenen Bits subtrahiert werden. Details hierzu finden Sie in der entsprechenden Manualpage (man umask).

Der Befehl mkdir mydir sollte nunmehr das Verzeichnis mydir mit den Benutzerrechten anlegen, wie sie mit umask vorgegeben wurden. Mittels ls -dl mydir können Sie überprüfen, ob dies der Fall ist. Der Befehl sollte eine Ausgabe der folgenden Art erzeugen:

drwxr-x--- ... tux project3 ... mydir

Mit dem Befehl getfacl mydir können Sie sich jetzt über den Ausgangszustand der ACL informieren. Dies sollte eine Ausgabe wie die folgende ergeben:

# file: mydir 
# owner: tux 
# group: project3 
user::rwx 
group::r-x 
other::---

Die Ausgabe von getfacl spiegelt exakt die in Abschnitt 35.3.1, „ACL-Einträge und Berechtigungsbits“ beschriebene Zuordnung von Berechtigungsbits und ACL-Einträgen wider. Die ersten drei Zeilen der Ausgabe nennen Namen, Besitzer und zugehörige Gruppe des Verzeichnisses. Die drei nächsten Zeilen enthalten die drei ACL-Einträge owner, owning group und other. Tatsächlich liefert Ihnen der getfacl-Befehl im Fall dieser minimalen ACL keine Information, die Sie mittels ls nicht auch erhalten hätten.

Ändern Sie jetzt die ACL dahingehend, dass Sie einem zusätzlichen Benutzer geeko und einer zusätzlichen Gruppe mascots Lese-, Schreib- und Ausführungsrechte gewähren:

setfacl -m user:geeko:rwx,group:mascots:rwx mydir

Die Option -m bewirkt, dass setfacl die bestehende ACL modifiziert. Das darauf folgende Argument gibt an, welche ACL-Einträge geändert werden sollen (mehrere werden durch Kommas voneinander getrennt). Zum Schluss wird der Name des Verzeichnisses angegeben, für das diese Änderungen gelten sollen. Die geänderte ACL können Sie sich wieder mit getfacl anzeigen lassen:

# file: mydir
# owner: tux
# group: project3
user::rwx
user:geeko:rwx
group::r-x
group:mascots:rwx
mask::rwx
other::---

Zusätzlich zu den von Ihnen veranlassten Einträgen für den Benutzer geeko und die Gruppe mascots wurde ein mask-Eintrag erzeugt. Dieser mask-Eintrag wird automatisch erzeugt, damit alle Benutzerrechte wirksam sind. Außerdem passt setfacl bestehende mask-Einträge automatisch an alle Veränderungen an — es sei denn, dass Sie dieses Verhalten mit -n deaktivieren. Der mask-Eintrag legt die maximal wirksamen Benutzerrechte für alle Einträge innerhalb der group class fest, das heißt für die Einträge named user, named group und owning group. Die group class-Berechtigungsbits, wie sie von ls -dl mydir angezeigt werden, entsprechen jetzt dem mask-Eintrag:

drwxrwx---+ ... tux project3 ... mydir

In der Ausgabe erscheint nun ein zusätzliches +, das auf eine erweiterte ACL für dieses Verzeichnis hinweist.

Gemäß der Ausgabe des Kommandos ls beinhalten die Rechte für den mask-Eintrag auch Schreibzugriff. Traditionell würden diese Berechtigungsbits auch darauf hinweisen, dass die owning group (also project3) ebenfalls Schreibzugriff auf das Verzeichnis mydir hätte. Allerdings sind die tatsächlich wirksamen Zugriffsrechte für die owning group als die Schnittmenge aus den Rechten für die owning group und den Rechten gemäß der mask definiert — also in unserem Beispiel r-x (siehe Tabelle 35.2, „Maskierung von Zugriffsrechten“). Es hat sich also auch nach dem Hinzufügen der ACL-Einträge nichts an den Rechten der owning group geändert.

Verändern können Sie den mask-Eintrag mittels setfacl oder chmod. Lautet der Befehl zum Beispiel chmod g-w mydir, dann zeigt ls -dl mydir folgende Benutzerrechte an:

drwxr-x---+ ... tux project3 ... mydir

Mit getfacl mydir ergibt sich nun folgendes Bild:

# file: mydir
# owner: tux
# group: project3
user::rwx
user:geeko:rwx          # effective: r-x
group::r-x
group:mascots:rwx      # effective: r-x
mask::r-x
other::---

Nachdem Sie per chmod die Bits der group class um den Schreibzugriff verringert haben, liefert Ihnen schon die Ausgabe des ls-Kommandos den Hinweis darauf, dass die mask-Bits entsprechend angepasst wurden. Jetzt hat wieder nur der Besitzer eine Schreibberechtigung im Verzeichnis mydir. Noch deutlicher wird dies an der Ausgabe von getfacl. Denn getfacl fügt für alle Einträge Kommentare hinzu, deren wirksame Berechtigungsbits nicht mit den ursprünglich gesetzten übereinstimmen, weil sie vom mask-Eintrag herausgefiltert werden. Den Ausgangszustand können Sie mit dem Befehl chmod g+w mydir wiederherstellen.

Verzeichnisse können mit einer besonderen Art von ACLs versehen werden, einer Default ACL. Diese Default ACL legt fest, welche Zugriffsrechte die Objekte in diesem Verzeichnis zum Zeitpunkt ihrer Erstellung erben. Eine Default ACL wirkt sich auf Unterverzeichnisse ebenso wie auf Dateien aus.

Bevor ein Prozess oder eine Anwendung auf ein Dateisystemobjekt zugreifen kann, muss ein ACL-Auswertungsalgorithmus absolviert werden. Grundsätzlich werden dabei die ACL-Einträge in folgender Reihenfolge untersucht: owner, named user, owning group oder named group und other. Über den Eintrag, der am besten auf den Prozess passt, wird schließlich der Zugang geregelt. Dabei werden die Zugangsrechte der einzelnen Einträge getrennt ausgewertet.

Komplizierter werden die Verhältnisse, wenn ein Prozess zu mehr als einer Gruppe gehört, also potentiell auch mehrere group-Einträge passen könnten. Aus den passenden Einträgen mit den erforderlichen Rechten wird ein beliebiger ausgesucht. Für das Endresultat „Zugriff gewährt“ ist es natürlich unerheblich, welcher dieser Einträge den Ausschlag gegeben hat. Enthält keiner der passenden group-Einträge die korrekten Rechte, gibt wiederum ein beliebiger von ihnen den Ausschlag für das Endresultat „Zugriff verweigert“.