Linux Essentials//Die Einsteiger-Zertifizierung des LPI - Linup Front ...

14.5 Besondere Zugriffsrechte für Verzeichnisse 207
Analog zum Set-UID-Bit gibt es auch ein SGID-Bit, mit dem ein Prozess statt SGID-Bit
mit der Gruppenzugehörigkeit des Aufrufers mit der Gruppenzugehörigkeit der
Programmdatei und den damit verbundenen Rechten (typischerweise zum Zugriff
auf andere Dateien, die dieser Gruppe zugeordnet sind) ausgeführt wird.
Die SUID- und SGID-Modi werden wie alle anderen Modi einer Datei mit dem chmod-Syntax
Systemprogramm chmod verändert, indem Sie symbolische Schlüssel wie u+s (setzt
das SUID-Bit) oder g-s (löscht das SGID-Bit) angeben. Auch in oktalen Modi können
Sie diese Bits setzen, indem Sie eine vierte Ziffer ganz links hinzufügen: Das
SUID-Bit hat den Wert 4, das SGID-Bit den Wert 2 – so können Sie einer Datei
den Zugriffsmodus 4755 geben, um sie für alle Benutzer lesbar und ausführbar
zu machen (der Eigentümer darf auch schreiben) und das SUID-Bit zu setzen.
Sie erkennen Programme, die mit den Rechten des Eigentümers oder der Gruppe
der Programmdatei arbeiten, in der Ausgabe von »ls -l« durch die symboli- ls-Ausgabe
schen Abkürzungen »s« anstelle von »x« für normal ausführbare Dateien.
14.5 Besondere Zugriffsrechte für Verzeichnisse
Es gibt eine weitere Ausnahme von der Zuordnung des Eigentums an Dateien
nach dem »Verursacherprinzip«: Der Eigentümer eines Verzeichnisses kann bestimmen,
dass die in diesem Verzeichnis erzeugten Dateien der gleichen Benutzergruppe
gehören wie das Verzeichnis selbst. Das geschieht, indem das SGID- SGID für Verzeichnisse
Bit des Verzeichnisses gesetzt wird. (Da Verzeichnisse nicht ausgeführt werden
können, ist das SGID-Bit für solche Sachen frei.)
Die Zugriffsrechte auf ein Verzeichnis werden durch das SGID-Bit nicht verändert.
Um eine Datei in einem solchen Verzeichnis anzulegen, muss ein Benutzer
das Schreibrecht in der für ihn zutreffenden Kategorie (Eigentümer, Gruppe, andere
Benutzer) haben. Wenn ein Benutzer zum Beispiel weder der Eigentümer
noch Mitglied der Benutzergruppe eines SGID-Verzeichnisses ist, muss das Verzeichnis
für alle Benutzer beschreibbar sein, damit er neue Dateien hineinschreiben
kann. Die in dem SGID-Verzeichnis erzeugte Datei gehört dann der Gruppe
des Verzeichnisses, auch wenn der Benutzer selbst dieser Gruppe nicht angehört.
B
Der typische Anwendungsfall für das SGID-Bit auf einem Verzeichnis ist
ein Verzeichnis, das einer »Projektgruppe« als Datenablage dient. (Nur) Die
Mitglieder der Projektgruppe sollen alle Dateien im Verzeichnis lesen und
schreiben und auch neue Dateien anlegen können. Das heißt, Sie müssen
alle Benutzer, die an dem Projekt mitarbeiten, in die Projektgruppe tun (sekundäre
Gruppe reicht):
# groupadd projekt Neue Gruppe anlegen
# usermod -a -G projekt hugo hugo in die Gruppe
# usermod -a -G projekt susi susi auch
✁✁✁✁✁
Jetzt können Sie das Verzeichnis anlegen und der neuen Gruppe zuordnen.
Eigentümer und Gruppe bekommen alle Rechte, der Rest der Welt keine;
außerdem setzen Sie noch das SGID-Bit:
# cd /home/projekt
# chgrp projekt /home/projekt
# chmod u=rwx,g=srwx /home/projekt
Wenn hugo jetzt eine Datei in /home/projekt anlegt, sollte diese der Gruppe
projekt zugeordnet sein:
$ id
uid=1000(hugo) gid=1000(hugo) groups=101(projekt),1000(hugo)
$ touch /tmp/hugo.txt Test: gewöhnliches Verzeichnis
Copyright © 2012 Linup Front GmbH