ユーザーが所有していないファイルをchmodすることを許可できますか?


17

rootまたは自分以外のユーザーが所有するファイルをユーザーがchmodできるようにします。ファイルを777にchmodしましたが、「操作は許可されていません」と表示されます。ユーザーをファイルのグループに追加し、同じものを取得しました。ユーザーが書き込みアクセス権を持つファイルをchmodできないのはなぜですか?


1
このロジックによって、なぜすべてをルートとして実行しないのですか?任意のユーザが任意のモードを変更することができた場合は、基本的には全体のUnixのアクセス許可モデル...破壊する
クリス・ダウン

1
何をしたいですか?多分あなたはに見ている必要がありsudolinux.die.net/man/8/sudolinux.die.net/man/5/sudoers
xx4h

ファイルには777のアクセス許可があり、ユーザーは「mv file file.old; cat file.old> file」にアクセスでき、ファイルを所有し、chmodできます。なぜ「chmod 777 file」できないのですか?
ashleysmithgpu

5
いいえ、ディレクトリへの書き込み権限がある場合にのみ可能です。04777モードを設定し、/ usr / bin / envをコピーすることにより、ユーザーが所有していないファイルのアクセス許可を変更する権限を持っている場合、そのユーザーとして任意のコマンドを実行できます。
ステファンシャゼル

@StephaneChazelasこれは奇妙な議論です。なぜなら、カーネルは、あらゆる種類の変更を許可するという決定に縛られることなく、所有者以外の人にそのような変更を許可することを簡単に決定できるからです!非所有者がファイルを書き込むと、すべてのSUIDがリセットされます。
ハウケレイジング

回答:


8

ユーザーが書き込みアクセス権を持つファイルをchmodできないのはなぜですか?

通常のアクセス権の場合、これは設計上の決定です。richaclsが必要ですWRITE_ACLそして多分WRITE_OWNER


1
また、richaclsは一般に入手できないことを警告する必要があります。
sendmoreinfo

@sendmoreinfo Wikipediaの記事には、それが書かれていることは明らかであり、私の答えはrichaclsが何であり、どのように使用されるかを説明していないので、明らかに読む必要があります。このため、正しい答えを「役に立たない」と考えるのはばかげています。特に同等の代替手段がないため。そのような情報が必要だと思われる場合は、次回編集を行います。
ハウケレイジング

なるほど、これは設計上の決定です、ありがとう
-ashleysmithgpu

2
あなたは明らかにこの機能を使用したので、自分の言葉で自分で説明してください。
sendmoreinfo

10

Unixの許可は単純になるように設計されています。ファイルから読み取るには読み取り権限、ファイルに書き込むには書き込み権限、ファイルを実行するには実行権限が必要です。メタデータを変更するにはファイルを所有する必要があります¹。

ファイルを読み取ることができるユーザーに他のユーザーに読み取り権限を許可したり、ファイルに書き込むことができるユーザーに他のユーザーに書き込み権限を許可したりしても、セキュリティモデルはあまり変わりません。これは、Unixのアクセス権が任意であるためです。ファイルを読み取ることができるユーザーは、他のユーザーがファイルを読み取れない場合でも、そのコンテンツを他のユーザーに公開できます(書き込みについても同様に、ユーザーはプロキシとして機能し、他の人に代わって書いてください)。

一方、ユーザーが持っていない許可を許可すると、許可システムが完全に破られます。ユーザーはすべての許可を自分自身に許可できます。

所有していないファイルの許可を変更する必要はほとんどありません。通常、ファイルが作成されたらすぐに適切なアクセス許可を持つようにファイルを調整する必要があります。本当に必要な場合sudo chmodは、特定のモードと特定のファイル(例:)のユーザー権利を与えることができますjoe: ALL = (ALL) chmod g+r /path/to/file

¹ ファイルへの読み取りまたは書き込みによっても設定されるため、アクセス時間と変更時間を除きます。


私のユースケースでは、Webプロセス(www-dataによる)とcliプロセス(自分による)の両方があり、ファイルにパーミッションを設定します。www-dataグループに自分を追加しましたが、これでは十分ではありません。
ドンキホーテ

所有者/グループを自分自身に変更しても:www-dataは役に立ちません。(アクセス許可を設定しようとするメカニズムは設計していませんが、それを制御することはできません)
-donquixote
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.