Listas de control de acceso (ACL, Access Control List) es una de las herramientas de Linux, que en su mayoría pocas veces es ocupada por parte de los usuarios medios e incluso para la mayoría de usuarios avanzados ya que las posibilidades que nos ofrecen el sistema de permisos y propietario estándar es más que suficiente. No obstante, conviene conocer el sistema de listas de control de acceso que nos permite extender estos permisos a nivel de ficheros y directorios.

Estas ACL permiten definir permisos concretos para un determinado usuario o grupo en ficheros y directorios, además, se asignan igual que los permisos estándar, con formato octal o simbólico (rwx). Básicamente, en caso de tener un fichero o directorio con unos permisos concretos determinados para su propietario y grupo, nos permite añadir usuarios o grupos extra con unos permisos completamente independientes a los definidos con los permisos estándar.

Primeramente debemos saber que nuestro sistema lo soporte y para ellos podemos saber de la siguiente manera:

tune2fs -l /dev/sda7 | grep acl
Default mount options: user_xattr acl

En caso de no aparecer la opción, tendríamos que probar con otra partición del disco. Puedes conocer tus particiones usando el comando lsblk.

lsblk
NAME   MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
sda      8:0    0 931.5G  0 disk 
|-sda1   8:1    0   512M  0 part /boot/efi
|-sda2   8:2    0 923.1G  0 part /
|-sda3   8:3    0   7.9G  0 part [SWAP]
sr0     11:0    1  1024M  0 rom

En esta situación se encuentra en /, tune2fs -l /dev/sda2 | grep acl.

De lo contrario de deberá remontar el filesystem añadiendo la flag, para hacerlo persistente habría que añadirla en el /etc/fstab.

mount -o remount, acl /

o de la siguiente manera modificar el fstab

Antes:

/dev/sda7 / ext4 errors=remount-ro 0 1

Después

/dev/sda7 / ext4 acl,errors=remount-ro 0 1

Para ver las ACL establecidas la instrucción getfacl es la herramienta a usar, en este caso se hizo con el archivo test.sh que no tiene las acl establecidas.

getfacl test.sh
# file: test.sh
# owner: dnay
# group: dnay
user::rwx
group::r-x
other::r-x

Uso de getfacl y setfacl Mover página: Uso de getfacl y setfacl

setfacl

La instrucción setfacl es usada para configurar las acl en los archivos y directorios, podemos verla como una versión acl de la instrucción chmod.

Como ejemplo, vamos a darle al grupo testusers permiso para leer desde appdir del que es el propietario root:appgroup

ls -la | grep appdir
drwxrwxr-x 2 root appgroup 4096 May 27 10:45 appdir

Para agregar permisos, usaremos el comando setfacl

setfacl -m g:testusers:r appdir/

Desmenusemos la instrucción un poco:

-m
Le indica a setfacl que modifique la lista de acl para el directorio especificado.

g:testusers:r
Esto es en realidad la lista de control de acceso que se está estableciendo. La primera columna se especifica g para el grupo , la segunda columna es el nombre del grupo que yo quiero que los permisos que se fijará para y la última columna es los permisos quiero ese grupo tenga. En este caso el permiso de lectura .

appdir/
Este es el directorio de trabajo.

Podemos comprobar los permisos de la siguiente manera:

getfacl appdir/
# file: appdir/
# owner: root
# group: appgroup
user::rwx
group::rwx
group:testusers:r--
mask::rwx
other::r-x

O de la siguiente manera, el signo de + al final de los permisos nos indica que los acl están activos

ls -la | grep appdir
drwxrwxr-x+ 2 root appgroup 4096 May 27 10:45 appdir

Quitar grupos o usuarios de las ACL se hace de la siguiente manera:

setfacl -x g:testusers appdir/

El comando setfacl nos permite colocar los ACL y sus opciones más comunes son:

• -m, –modify – Modifica los ACL de un archivo o directorio.
• -x, –remove – Elimina las entradas ACLs.
• -b, –remove-all – Elimina todas las entradas ACLs.
• -L, –logical – Enrutamiento de los enlaces simbólicos.
• -R, –recursive – Aplicación de los ACLs de forma recursiva.

Para el caso de getfacl

• El comando getfacl nos permite mostrar los ACLs.
• La opción -R permite ver los ACLs de forma recursiva.
• La opción -L para el enrutamiento de los enlaces simbólicos.

Video sobre Listas de Control de Acceso

Video de sobre el uso de ACL.