14.11 文件系统访问控制表

　　与文件系统在其他方面的加强， 如快照等一道， FreeBSD 提供了通过文件系统访问控制表 (ACL) 实现的安全机制。

　　访问控制表以高度兼容 (POSIX®.1e) 的方式扩展了标准的 UNIX® 权限模型。 这一特性使得管理员能够利用其优势设计更为复杂的安全模型。

　　如果想为 UFS 文件系统启用 ACL 支持， 则需要添加下列选项：

options UFS_ACL

　　并重新编译内核。 如果没有将这个选项编译进内核， 则在挂接支持 ACL 的文件系统时将会收到警告。 这个选项在 GENERIC 内核中已经包含了。 ACL 依赖于在文件系统上启用扩展属性。 在新一代的 UNIX 文件系统， UFS2 中内建了这种支持。

　　ACL 可以在挂接时通过选项 acls 来启动， 它可以加入 /etc/fstab。 另外， 也可以通过使用 tunefs(8) 修改超级块中的 ACL 标记来持久性地设置自动的挂接属性。 一般而言， 后一种方法是推荐的做法， 其原因是：

• 挂接时的 ACL 标记无法被重挂接 (mount(8) -u) 改变， 只有完整地 umount(8) 并做一次新的 mount(8) 才能改变它。 这意味着 ACL 状态在系统启动之后就不可能在 root 文件系统上发生变化了。 另外也没有办法改变正在使用的文件系统的这个状态。

• 在超级块中的设置将使得文件系统总被以启用 ACL 的方式挂接， 即使在 fstab 中的对应项目没有作设置， 或设备顺序发生变化时也是如此。 这避免了不慎将文件系统以没有启用 ACL 的状态挂接， 从而避免没有强制 ACL 这样的安全问题。

　　在查看目录时， 启用了 ACL 的文件将在通常的属性后面显示 + (加号)。 例如：

drwx------  2 robert  robert  512 Dec 27 11:54 private
drwxrwx---+ 2 robert  robert  512 Dec 23 10:57 directory1
drwxrwx---+ 2 robert  robert  512 Dec 22 10:20 directory2
drwxrwx---+ 2 robert  robert  512 Dec 27 11:57 directory3
drwxr-xr-x  2 robert  robert  512 Nov 10 11:54 public_html

　　这里我们看到了 directory1、 directory2， 以及 directory3 目录使用了 ACL。 而 public_html 则没有。

% getfacl test
    #file:
    #owner:1001
    #group:1001
    user::rw-
    group::r--
    other::r--

% setfacl -k test

% setfacl -m u:trhodes:rwx,group:web:r--,o::--- test