Grundsätzlich gehört jede Datei in Linux-Dateisystemen je einem Benutzer und einer Gruppe. Jeder dieser beiden Eigentümerparteien, aber auch Anderen können vom Besitzer Schreib-, Lese- sowie Ausführrechte zugewiesen werden.

Als Gruppe werden Zusammenschlüsse von Benutzern mit bestimmten kollektiven Rechten bezeichnet. So ist eine solche Gruppe eine an einem bestimmten Projekt arbeitende Arbeitsgruppe, nennen wir sie projekt3. Jeder Benutzer unter Linux ist Mitglied in mindestens einer Gruppe, standardmäßig ist das die Gruppe users. Es können nahezu beliebig viele Gruppen vom Benutzer root angelegt werden. Jeder Benutzer kann mit dem Befehl groups herausfinden, in welchen Gruppen er Mitglied ist.

Es gibt Situationen, in denen die Zugriffsrechte als zu restriktiv erscheinen. Hierfür gibt es unter Linux zusätzliche Einstellungen, welche die aktuelle Benutzer- und Gruppenidentität für eine bestimmte Aktion vorübergehend ändern können. Beispielsweise benötigt das Programm passwd für den Zugriff auf /etc/passwd normalerweise Root-Rechte. Diese Datei enthält wichtige Informationen wie die Home-Verzeichnisse von Benutzern und Benutzer- und Gruppen-IDs. Daher kann ein normaler Benutzer passwd nicht ändern, da es zu gefährlich wäre, allen Benutzern direkten Zugriff zu dieser Datei zu gewähren. Als Lösung bietet sich der Setuid-Mechanismus an. Setuid (Set User ID) ist ein spezielles Dateiattribut, welches das System anweist damit markierte Programme unter einer vorgegebenen Benutzer-Kennung auszuführen. Betrachten wir das Programm passwd:

-rwsr-xr-x  1 root shadow 80036 2004-10-02 11:08 /usr/bin/passwd

Wie Sie sehen, ist das s-Bit für die Benutzerrechte gesetzt. Durch das Setuid-Bit wird der Befehl passwd als root ausgeführt, wenn er von irgendeinem Benutzer gestartet wird.

Das Setuid-Attribut gilt für den Benutzer, es gibt jedoch auch eine äquivalente Eigenschaft für die Gruppe: Das Setgid-Attribut. Ein Programm läuft dann unter der Gruppenkennung, unter des es gespeichert wurde, egal welcher Benutzer es gestartet hat. Daher werden bei einem Verzeichnis mit Setgid-Bit alle neu angelegten Dateien und Unterverzeichnisse der Gruppe zugewiesen, der das Verzeichnis gehört. Betrachten wir ein Beispiel-Verzeichnis:

drwxrws---   2 tux archive   48 Nov 19 17:12 backup

Wie Sie sehen, ist das s-Bit für die Gruppenrechte gesetzt. Der Besitzer des Verzeichnisses und Mitglieder der Gruppe archive haben Zugriff auf dieses Verzeichnis. Benutzer, die nicht Mitglieder dieser Gruppe sind, werden der entsprechenden Gruppe zugewiesen. Die effektive Gruppen-ID aller hier gespeicherten Dateien ist somit archive. Zum Beispiel hat ein Backup-Programm, dass unter der Gruppen-ID archive läuft, selbst ohne Root-Rechte Zugriff auf dieses Verzeichnis.

Zusätzlich zu den Setuid- und Setgid-Bits gibt es noch das so genannte Sticky-Bit. Hierbei muss man unterscheiden, ob es einem ausführbarem Programm oder einem Verzeichnis angehört. Für Dateien ist dieses Bit heute nicht mehr weit im Gebrauch und hat nur noch historische Bedeutung. Wird dagegen einem Verzeichnis dieses Attribut zugewiesen, verhindert dies, dass Benutzer sich ihre Dateien gegenseitig löschen. (In Verzeichnissen mit Sticky-Bit dürfen Benutzer nur Dateien entfernen, die sie selbst besitzen). Typische Beispiele sind die Verzeichnisse /tmp und /var/tmp:

drwxrwxrwt   2 root  root   1160 2002-11-19 17:15 /tmp

In Erweiterung zum traditionellen Rechtekonzept für Dateien und Verzeichnisse, wie es in den vorangehenden Abschnitten erläutert wurde, kennt Linux die so genannten ACLs Access Control Lists. Mit ihrer Hilfe kann neben dem Eigentümer und der besitzenden Gruppe auch weiteren Benutzern und Gruppen Zugriff erteilt werden.

Sie erkennen Verzeichnisse oder Dateien mit erweiterten Zugriffsrechten nach einem einfachen ls -l Kommando so:

-rw-r--r--+  1 tux  projekt3   517 2003-01-08 18:12 Roadmap

Auf den ersten Blick hat sich an der Ausgabe des ls Kommandos nicht viel geändert. Die Datei Roadmap gehört dem Benutzer tux, der zur Gruppe projekt3 gehört. tux besitzt sowohl Lese- als auch Schreibrechte an dieser Datei, die Gruppe greift lesend zu und der Rest der Welt ebenso. Einziger Hinweis auf einen Unterschied zu einer Datei ohne ACL ist das zusätzliche + in der ersten Spalte mit den Berechtigungsbits.

Details über die konkrete ACL erhalten Sie mit dem Kommando getfacl auf Ihre Beispieldatei Roadmap:

# file: Roadmap
# owner: tux
# group: projekt3
user::rw-
user:jane:rw-       effective: r--
group::r--
group:djungle:rw-   effective: r--
mask::r--
other::---

Die ersten drei Zeilen liefern keinerlei neue Informationen, die Sie mit einem ls -l nicht auch erhalten hätten. Hier geht es lediglich um Dateiname, Besitzer und Gruppe. Die Zeilen 4 bis 9 geben die eigentlichen ACL-Einträge ACL entries wieder. Die herkömmlichen Dateirechte sind eine Untermenge derer, die sich mit Hilfe von ACLs festlegen lassen. Die Beispiel-ACL sieht für den Besitzer der Datei, sowie für den Benutzer jane Schreib- und Lesezugriff vor, ist also eine Erweiterung (Zeilen 4 und 5). Gleiches gilt entsprechend für die Gruppen. Die Gruppe des Dateibesitzers hat Lesezugriff (Zeile 6), für die Gruppe djungle ist Lese- und Schreibzugriff vorgesehen. Der Eintrag mask in Zeile 8 beschränkt die Zugriffsrechte für den Benutzer jane und die Gruppe djungle effektiv auf reinen Lesezugriff. Sämtliche anderen Benutzer oder Gruppen sind nicht zugriffsberechtigt (Zeile 9).

Weitergehende Informationen zu ACLs finden Sie im Administrationshandbuch.