Linux有用户和用户组的概念，为了区分不同用户和用户组对资源的利用管理''范围''，还需要配合Linux权限管理，下面简单记录下，以下操作全部基于centos6.5。
权限及其操作
权限一般有逻辑权限、物理权限，以及用户root权限的说法。
逻辑权限
随便打开一个文件或文件夹，使用ll命令后可以查看逻辑权限的内容。
# 这个文件的权限为：root用户可读可写，root用户组可读，其他用户可读 -rw-r--r--. 1 root root 0 Oct 16 13:12 messi
那具体前面那一串-rw-r--r--是什么意思，参考如下表格。
| 字符 | 含义 |
|---|---|
| - | 占1位，-代表普通文件类型，d代表目录，l代表符号链接文件，b代表块文件等 |
| 用户权限 | 占2-4位，r代表读权限，w代表写权限，x代表执行权限 |
| 用户组权限 | 占5-7位，权限同上 |
| 其他权限 | 占8-10位，权限同上 |
这就是逻辑权限的概念，对应的命令就是chmod，下面演练一下，具体命令解释在注释中。
给hadoop目录设置用户可读可写可执行，给用户组设置可读可执行，给其他用户设置可读可执行权限。
# 直接用数字 [root@node02 /home]# chmod 755 hadoop # 指定用户使用u，指定用户组使用g，指定其他使用o，如果是所有都执行则指定a [root@node02 /home]# chmod u+rwx,g+rx,o+rx hadoop [root@node02 /home]# ll total 20 # 修改hadoop目录权限成功 drwxr-xr-x. 2 root root 4096 Oct 16 16:47 hadoop
给hadoop设置不可读写操作权限，再修改为用户，用户组和其他都具有可执行权限。
[root@node02 /home]# chmod 000 hadoop [root@node02 /home]# ll total 20 # 修改成功 d---------. 2 root root 4096 Oct 16 16:47 hadoop [root@node02 /home]# chmod +x hadoop [root@node02 /home]# ll total 20 # 修改成功 d--x--x--x. 2 root root 4096 Oct 16 16:47 hadoop
物理权限
物理权限可以修改某个文件或文件夹不可以修改、增加和删除等权限，一般不给根目录/、临时文件夹/tmp、日志文件夹/var，挂载文件夹/dev设置。
添加物理权限语法为 chattr [选项] 文件名或目录名
[root@node02 /home]# chattr --help Usage: chattr [-RVf] [-+=AacDdeijsSu] [-v version] files..
其中常用选项如下：
| 选项 | 解释 |
|---|---|
| i | 表示不能对文件或文件夹进行修改、增加和删除 |
| a | 表示文件或文件夹只能追加操作，不能修改和删除 |
| R | 递归处理 |
| S | 即时更新文件或目录 |
| s | 保密删除文件或目录 |
| + | 开始某个物理权限 |
| - | 关闭某个物理权限 |
查看物理权限语法为 lsattr [选项] 文件或文件夹
-R Recursively list attributes of directories and their contents. -a List all files in directories, including files that start with ‘.’. -d List directories like other files, rather than listing their contents.
将hadoop文件夹设置为不可修改、增加和删除操作，然后尝试在文件夹里新建文件。
# 修改物理权限 [root@node02 /home]# chattr +i hadoop # 查看物理权限，包括隐藏文件 [root@node02 /home]# lsattr -a hadoop -------------e- hadoop/.. ----i--------e- hadoop/. [root@node02 /home]# cd hadoop # 在hadoop文件夹下新建文件，提示不允许 [root@node02 /home/hadoop]# touch log.txt touch: cannot touch `log.txt': Permission denied
修改hadoop文件夹为可追加，再次尝试在文件夹里新建文件。
# 关闭i物理权限 [root@node02 /home]# chattr -i hadoop # 增加a物理权限，代表可追加 [root@node02 /home]# chattr +a hadoop # 查看已添加可追加权限 [root@node02 /home]# lsattr -a -----a-------e- ./hadoop [root@node02 /home]# cd hadoop [root@node02 /home/hadoop]# touch log.txt [root@node02 /home/hadoop]# ll total 0 # 添加文件成功 -rw-r--r--. 1 root root 0 Oct 16 17:21 log.txt [root@node02 /home/hadoop]#
普通用户root权限
sudo命令让普通用户也可以拥有root的权限，这样在普通用户下可以执行root用户部分操作，它有如下优点。
（1）可以使用root用户配置的环境
（2）不需要切换root用户也可以执行操作
（3）限制用户执行有限的root权限
（4）可以记录sudo命令，方便后续查看操作日志，排查危险操作
下面是参考博文完成的sudo操作日志记录。
a 修改/etc/rsyslog.conf文件，添加如下内容到文件最后
[root@node02 /var/log]# vim /etc/rsyslog.conf # 打印sudo操作记录 local2.debug /var/log/sudo.log
b 使用visudo命令编辑/etc/sudoers，添加如下内容到最后
[root@node02 /var/log]# visudo ## 记录sudo日志配置 Defaults logfile=/var/log/sudo.log Defaults loglinelen=0 Defaults !syslog
c 在/etc/log目录下新建一个sudo.log文件，然后重启rsyslog服务
[root@node02 /var/log]# touch sudo.log [root@node02 /var/log]# cat sudo.log [root@node02 /var/log]# service rsyslog restart Shutting down system logger: [ OK ] Starting system logger: [ OK ]
d 切换到hadoop用户，执行一个cd操作
[root@node02 /home]# su hadoop
[hadoop@node02 /home]$ sudo cd /root
We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:
#1) Respect the privacy of others.
#2) Think before you type.
#3) With great power comes great responsibility.
[sudo] password for hadoop:
# 提示没有在sudoers添加hadoop sudo权限，需要修改/etc/sudoers文件
hadoop is not in the sudoers file. This incident will be reported.
e 添加hadoop sudo权限
## Allow root to run any commands anywhere root ALL=(ALL) ALL # 代表hadoop用户可以执行sudo命令，需要密码 hadoop ALL=(ALL) ALL # 代表hadoop用户组可以执行sudo命令，需要密码 # %hadoop ALL=(ALL) ALL # 代表hadoop用户可以执行sudo命令，不需要密码 # hadoop ALL=(ALL) NOPASSWD:ALL # 代表hadoop用户组可以执行sudo命令，不需要密码 # %hadoop ALL=(ALL) NOPASSWD:ALL
f 重新执行发现成功执行sudo命令
[root@node02 /home]# su hadoop [hadoop@node02 /home]$ sudo ls /home [sudo] password for hadoop: book hadoop messi passwd test [hadoop@node02 /home]$ cat /var/log/sudo.log # 第一条就是上面提示的没有添加hadoop到sudoers文件的日志 Oct 16 20:03:42 : hadoop : user NOT in sudoers ; TTY=pts/1 ; PWD=/home ; USER=root ; COMMAND=cd /root # 正常执行 ls /home命令后的日志 Oct 16 20:19:00 : hadoop : TTY=pts/1 ; PWD=/home ; USER=root ; COMMAND=/bin/ls /home
权限应用实操
实操1：创建两个文件夹hadoop和hive，让文件夹对不同用户组的用户进行开放，用户组名bigdata01，bigdata02。
以下是实现的一种方式，利用权限，用户和组的知识来完成。
a 创建用户组bigdata01和bigdata02
[root@node02 /home]# groupdel bigdata01 [root@node02 /home]# groupdel bigdata02 [root@node02 /]# cat /etc/group ... # 查看发现创建group成功 bigdata01:x:1000: bigdata02:x:1001:
b 在/根目录下创建用户根目录bigclub，创建4个用户，让用户家目录在/bigclub目录下。
[root@node02 /]# mkdir bigclub # 创建四个用户，指定家目录和用户组 [root@node02 /]# useradd -d /bigclub/stu1 -m -g bigdata01 stu1 [root@node02 /]# useradd -d /bigclub/stu2 -m -g bigdata01 stu2 [root@node02 /]# useradd -d /bigclub/stu3 -m -g bigdata02 stu3 [root@node02 /]# useradd -d /bigclub/stu4 -m -g bigdata02 stu4 [root@node02 /]# id stu1 uid=501(stu1) gid=1000(bigdata01) groups=1000(bigdata01) [root@node02 /]# id stu2 uid=502(stu2) gid=1000(bigdata01) groups=1000(bigdata01) [root@node02 /]# id stu3 uid=503(stu3) gid=1001(bigdata02) groups=1001(bigdata02) [root@node02 /]# id stu4 uid=504(stu4) gid=1001(bigdata02) groups=1001(bigdata02) [root@node02 /]# cd /bigclub # 查看家目录 [root@node02 /bigclub]# ll total 16 drwx------. 2 stu1 bigdata01 4096 Oct 16 21:37 stu1 drwx------. 2 stu2 bigdata01 4096 Oct 16 21:37 stu2 drwx------. 2 stu3 bigdata02 4096 Oct 16 21:37 stu3 drwx------. 2 stu4 bigdata02 4096 Oct 16 21:37 stu4
c 创建两个文件夹hadoop和hive，修改用户组，一个为bigdata01，一个为bigdata02，并将文件夹赋予770权限
# 创建文件夹 [root@node02 /tmp]# mkdir hadoop [root@node02 /tmp]# mkdir hive [root@node02 /tmp]# ll total 8 drwxr-xr-x. 2 root root 4096 Oct 16 21:42 hadoop drwxr-xr-x. 2 root root 4096 Oct 16 21:42 hive -rw-------. 1 root root 0 Oct 11 17:39 yum.log # 修改用户组 [root@node02 /tmp]# chown root:bigdata01 hadoop [root@node02 /tmp]# chown root:bigdata02 hive [root@node02 /tmp]# ll total 8 drwxr-xr-x. 2 root bigdata01 4096 Oct 16 21:42 hadoop drwxr-xr-x. 2 root bigdata02 4096 Oct 16 21:42 hive -rw-------. 1 root root 0 Oct 11 17:39 yum.log # 修改文件夹权限为770，这样其他组的成员将无法访问 [root@node02 /tmp]# chmod 770 hadoop [root@node02 /tmp]# chmod 770 hive [root@node02 /tmp]# ll total 8 drwxrwx---. 2 root bigdata01 4096 Oct 16 21:42 hadoop drwxrwx---. 2 root bigdata02 4096 Oct 16 21:42 hive -rw-------. 1 root root 0 Oct 11 17:39 yum.log
d 测试，使用stu1进入hadoop是ok的，但是stu1进入hive会被限制，同理stu3进入hive是ok的，但是stu3进入hadoop会被限制。
# 切换stu1 [root@node02 /tmp]# su - stu1 # 可进入hadoop [stu1@node02 ~]$ cd /tmp/hadoop [stu1@node02 /tmp/hadoop]$ cd .. # 无法进入hive [stu1@node02 /tmp]$ cd hive -bash: cd: hive: Permission denied [stu1@node02 /tmp]$ su root Password: # 切换stu3 [root@node02 /tmp]# su stu3 # 可进入hive [stu3@node02 /tmp]$ cd hive [stu3@node02 /tmp/hive]$ cd .. # 不可进入hadoop [stu3@node02 /tmp]$ cd hadoop bash: cd: hadoop: Permission denied
这样就完成了实操1的功能。
实操2：在上面案例基础上，在hadoop文件夹下使用stu1创建两个文件，一个可以被stu2读取和修改，另外一个可以被读取但是不能修改。
[root@node02 /tmp]# su stu1 [stu1@node02 /tmp]$ ll total 8 drwxrwx---. 2 root bigdata01 4096 Oct 16 21:42 hadoop drwxrwx---. 2 root bigdata02 4096 Oct 16 21:42 hive -rw-------. 1 root root 0 Oct 11 17:39 yum.log [stu1@node02 /tmp]$ cd hadoop/ [stu1@node02 /tmp/hadoop]$ ll total 0 # stu1用户下创建两个文件 [stu1@node02 /tmp/hadoop]$ touch file1.txt [stu1@node02 /tmp/hadoop]$ touch file2.txt # 分别给两个文件留下stu1签名 [stu1@node02 /tmp/hadoop]$ echo "stu1 come here and sign" >> file1.txt [stu1@node02 /tmp/hadoop]$ echo "stu1 come here and sign" >> file2.txt [stu1@node02 /tmp/hadoop]$ cat file1.txt stu1 come here and sign [stu1@node02 /tmp/hadoop]$ cat file2.txt stu1 come here and sign [stu1@node02 /tmp/hadoop]$ ll total 8 -rw-r--r--. 1 stu1 bigdata01 24 Oct 16 21:53 file1.txt -rw-r--r--. 1 stu1 bigdata01 24 Oct 16 21:53 file2.txt # 修改file1.txt权限为组内可读可写 [stu1@node02 /tmp/hadoop]$ chmod 760 file1.txt # 修改file2.txt权限为组内只读 [stu1@node02 /tmp/hadoop]$ chmod 740 file2.txt [stu1@node02 /tmp/hadoop]$ ll total 8 -rwxrw----. 1 stu1 bigdata01 24 Oct 16 21:53 file1.txt -rwxr-----. 1 stu1 bigdata01 24 Oct 16 21:53 file2.txt [stu1@node02 /tmp/hadoop]$ su root Password: [root@node02 /tmp/hadoop]# su stu2 [stu2@node02 /tmp/hadoop]$ ll total 8 -rwxrw----. 1 stu1 bigdata01 24 Oct 16 21:53 file1.txt -rwxr-----. 1 stu1 bigdata01 24 Oct 16 21:53 file2.txt # stu2用户尝试对file1.txt进行修改成功 [stu2@node02 /tmp/hadoop]$ echo "stu2 come here and sign" >> file1.txt # stu2用户尝试对file2.txt进行修改失败 [stu2@node02 /tmp/hadoop]$ echo "stu2 come here and sign" >> file2.txt # 不允许 bash: file2.txt: Permission denied # file1留下了stu2的签名 [stu2@node02 /tmp/hadoop]$ cat file1.txt stu1 come here and sign stu2 come here and sign # file2依然只有stu1的签名 [stu2@node02 /tmp/hadoop]$ cat file2.txt stu1 come here and sign
以上为linux下权限的相关知识，供参考。
参考博文：
（1）https://www.cnblogs.com/garfieldcgf/p/8323489.html
（2） https://www.cnblogs.com/okokabcd/p/8724263.html
（3） https://www.cnblogs.com/52py/p/9598237.html 记录sudo日志配置
（4） https://blog.csdn.net/sinat_36118270/article/details/62899093 在sudoers里设置普通用户