Los siguientes gráficos ilustran respectivamente las posibles variantes de una ACL estándar y una extendida (ver Figura 35.1, “ACL estándar: entradas ACL y bits de permiso” y Figura 35.2, “ACL extendida: entradas ACL y bits de permiso”). Las figuras están divididas en tres bloques. A la izquierda aparece la descripción del tipo de entrada ACL, en el medio un ejemplo de ACL y a la derecha los bits de permiso tal y como los muestra el comando ls -l. En ambos casos, los permisos correspondientes al owner class han sido asignados a la entrada ACL owner. Asimismo, la asignación de permisos other class a la correspondiente entrada ACL es siempre la misma. En cambio, la asignación de permisos group class varía según el caso.

Figura 35.1. ACL estándar: entradas ACL y bits de permiso

En el caso de una ACL estándar (sin entrada mask), los permisos de la group class se asignan a la entrada ACL owning group (ver Figura 35.1, “ACL estándar: entradas ACL y bits de permiso”). En el caso de una ACL extendida (con entrada mask), los permisos de la group class se asignan a la entrada mask (ver Figura 35.2, “ACL extendida: entradas ACL y bits de permiso”).

Figura 35.2. ACL extendida: entradas ACL y bits de permiso

Este tipo de asignación garantiza la correcta interacción de aplicaciones con y sin soporte ACL. Los permisos de acceso definidos mediante los bits de permiso constituyen el límite para las opciones de configuración avanzadas que pueden realizarse vía ACL. Todos los permisos que no están reflejados aquí no han sido definidos en la ACL o no tienen vigencia. Si los bits de permiso se modifican, esto también se refleja en la ACL y viceversa.

Por medio del siguiente ejemplo, se explicará en tres pasos el funcionamiento de una access ACL:

Antes de crear un directorio, puede emplear el comando umask para definir qué permisos de acceso han de estar enmascarados desde el momento de su creación. umask 027 define los permisos de cada grupo de usuarios como se describe a continuación: el propietario del archivo posee todos los permisos (0), el grupo al que pertenece el propietario no tiene permiso de escritura sobre el archivo (2) y el resto de usuarios carece de cualquier permiso sobre el archivo (7). Los números se leen como una máscara de bits. Puede obtener más información sobre umask en la página del manual correspondiente (man umask).

Se ha creado el directorio mydir que ha obtenido los derechos definidos por medio de umask. Puede comprobar si todos los permisos han sido asignados correctamente con el comando ls -dl mydir. La salida en este caso sería:

drwxr-x--- ... tux project3 ... mydir

Mediante el comando getfacl mydir puede comprobar el estado inicial de la ACL:

# file: mydir 
# owner: tux  
# group: project3 
user::rwx 
group::r-x 
other::--- 

La salida del comando getfacl refleja exactamente la correspondencia entre bits de permiso y entradas ACL descrita en la Sección 35.3.1, “Entradas ACL y bits de permiso”. Las primeras tres líneas de la salida de comando designan el nombre, propietario y grupos pertenecientes del directorio. Las tres líneas siguientes contienen las tres entradas ACL owner, owning group y other. En conjunto, el comando getfacl en el caso de esta ACL estándar no le ofrece ninguna información que no hubiese obtenido también con el comando ls.

Su primera intervención en la ACL consiste en asignar a un nuevo usuario geeko y a un nuevo grupo mascots permisos de lectura, escritura y ejecución.

setfacl -m user:geeko:rwx,group:mascots:rwx mydir

La opción -m le ordena a setfacl modificar la ACL actual. El siguiente argumento indica qué entradas ACL serán modificadas (muchas están separadas entre sí por comas). Finalmente tiene que introducir el nombre del directorio para el que tendrán validez estos cambios. La ACL resultante se muestra con el comando getfacl.

# file: mydir
# owner: tux
# group: project3 
user::rwx
user:geeko:rwx 
group::r-x
group:mascots:rwx 
mask::rwx
other::---

Además de las entradas para el usuario geeko y el grupo mascots creadas por usted, se ha generado una entrada mask. Esta entrada mask se crea automáticamente para reducir todas las entradas de group class a un denominador común. Además, setfacl adapta automáticamente las entradas mask a las opciones que usted modifique (siempre que no haya desactivado esta función con -n). mask define los permisos de acceso máximos que tienen validez para todas las entradas de la group class. Entre estas se incluyen named user, named group y owning group. Los bits de permiso de group class mostrados al ejecutar ls -dl mydir equivalen a la entrada mask.

drwxrwx---+ ... tux project3 ... mydir

En la primera columna de la salida aparece un signo + que hace referencia a una ACL extendida.

Según la salida del comando ls, los permisos de la entrada mask incluyen también permiso de escritura. Normalmente, estos bits de permiso también indicarían que el owning group (aquí: project3) tendría asimismo derechos de escritura para el directorio mydir. No obstante, los permisos de acceso realmente válidos para para el owning group consisten en la intersección de los permisos definidos para el owning group y mask, es decir, r-x en nuestro ejemplo (ver la Tabla 35.2, “Enmascaramiento de permisos de acceso”). Aquí tampoco se han modificado los permisos de owning group después de añadir las entradas ACL.

La entrada mask puede modificarse con setfacl o con chmod. Por ejemplo, emplee el comando chmod g-w mydir. ls -dl mydir muestra lo siguiente:

drwxr-x---+ ... tux project3 ... mydir

getfacl mydir ofrece la siguiente salida:

# file: mydir
# owner: tux
# group: project3 
user::rwx
user:geeko:rwx          # effective: r-x
group::r-x
group:mascots:rwx      # effective: r-x 
mask::r-x
other::---

Después de haber retirado el permiso de escritura a la group class por medio del comando chmod, la salida del comando ls ya le indica que los bits de mask han sido adaptados en consecuencia a través del comando chmod. Como se puede ver, el único que posee permiso de escritura sobre el directorio mydir es el propietario. Esto se ve aún más claramente en la salida del comando getfacl. Además, getfacl añade a cada entrada un comentario informando de que los bits de permiso realmente válidos no son los definidos inicialmente, ya que la entrada mask se encarga de filtrarlos. Por supuesto, se puede volver a en cualquier momento al estado original con el comando chmod correspondiente:

Los directorios pueden ser equipados con un tipo especial de ACLs, las ACLs predeterminadas. Estas definen los derechos que heredan los subobjetos de estos directorios en el momento de su creación. La ACL predeterminada tiene vigencia tanto sobre subdirectorios como sobre archivos.

Una vez explicado el funcionamiento de las herramientas de configuración más importantes de las ACLs, a continuación se describe brevemente el algoritmo de evaluación al que se somete cualquier proceso o aplicación antes de que se le proporcione acceso a un objeto del sistema protegido por ACLs. Las entradas ACL son analizadas en el siguiente orden: owner, named user, owning group o named group y other. El acceso se regula a través de la entrada que mejor se ajuste al proceso.

El mecanismo se complica cuando un proceso pertenece a más de un grupo, ya que potencialmente podrá ajustarse a varias entradas group. En este caso se selecciona una de las entradas adecuadas con los permisos requeridos. Para el resultado final “acceso autorizado” es irrelevante cuál de estas entradas ha sido seleccionada. Si ninguna de las entradas group apropiadas contiene los permisos correctos, se selecciona una cualquiera que provocará el resultado final acceso denegado.