ACL許可權設定命令setfacl和getfacl命令

目錄

 ACL許可權設定命令setfacl和getfacl命令

setfacl命令是用來在命令列裡設定ACL（存取控制列表）。在命令列裡，一系列的命令跟隨以一系列的檔名。

 選項

 |引數|說明|
 |-|-|
 |-b：|刪除所有擴充套件的acl規則，基本的acl規則(所有者，群組，其他）將被保留。
 |-k：|刪除預設的acl規則。如果沒有預設規則，將不提示。
 |-n：|不要重新計算有效許可權。setfacl預設會重新計算ACL mask，除非mask被明確的制定。
 |--mask：|重新計算有效許可權，即使ACL mask被明確指定。|
 |-d：|設定預設的acl規則。
 |--restore=file：|從檔案恢復備份的acl規則（這些檔案可由getfacl -R產生）。通過這種機制可以恢復整個目錄樹的acl規則。此引數不能和除--test以外的任何引數一同執行。
 |--set=acl| 設定當前檔案的ACL規則|
|--set-file=file| 從檔案讀入ACL規則來設定當前檔案或目錄的ACL規則|
 |--test：|測試模式，不會改變任何檔案的acl規則，操作後的acl規格將被列出。|
 |-R：|遞回的對所有檔案及目錄進行操作。
 |-L：|跟蹤符號連結，預設情況下只跟蹤符號連結檔案，跳過符號連結目錄。
 |-P：|跳過所有符號連結，包括符號連結檔案。
 |--version：|輸出setfacl的版本號並退出。
 |--help：|輸出幫助資訊。
 |--：|標識命令列引數結束，其後的所有引數都將被認為是檔名 -：如果檔名是-，則setfacl將從標準輸入讀取檔名。|
|-m|更改檔案或目錄的ACL規則|
|-M|從一個檔案讀入ACL設定資訊並以此為模版修改當前檔案或目錄的ACL規則|
|-x|刪除檔案或目錄指定的ACL規則|
|-X|從一個檔案讀入ACL設定資訊並以此為模版刪除當前檔案或目錄的ACL規則|

- 選項-m和-x後邊跟以acl規則。多條acl規則以逗號(,)隔開。選項-M和-X用來從檔案或標準輸入讀取acl規則。
- 選項--set和--set-file用來設定檔案或目錄的acl規則，先前的設定將被覆蓋。
- 選項-m(--modify)和-M(--modify-file)選項修改檔案或目錄的acl規則。
- 選項-x(--remove)和-X(--remove-file)選項刪除acl規則。

　　當使用-M，-X選項從檔案中讀取規則時，setfacl接受getfacl命令輸出的格式。每行至少一條規則，以#開始的行將被視為註釋。

　　當在不支援ACLs的檔案系統上使用setfacl命令時，setfacl將修改檔案許可權位。如果acl規則並不完全匹配檔案許可權位，setfacl將會修改檔案許可權位使其盡可能的反應acl規則，並會向standard error傳送錯誤訊息，以大於0的狀態返回。

 許可權

檔案的所有者以及有CAP_FOWNER的使用者進程可以設定一個檔案的acl。（在目前的linux系統上，root使用者是唯一有CAP_FOWNER能力的使用者）

 ACL規則

setfacl命令可以識別以下的規則格式：

- [d[efault]:] [u[ser]:]uid [:perms] 指定使用者的許可權，檔案所有者的許可權（如果uid沒有指定）。
- [d[efault]:] g[roup]:gid [:perms] 指定群組的許可權，檔案所有群組的許可權（如果gid未指定）
- [d[efault]:] m[ask][:] [:perms] 有效許可權掩碼 
- [d[efault]:] o[ther] [:perms] 其他的許可權 

恰當的acl規則被用在修改和設定的操作中，對於uid和gid，可以指定一個
 數位，也可指定一個名字。perms域是一個代表各種許可權的字母的組合：讀-r寫-w執行-x，執行只適合目錄和一些可執行的檔案。pers域也可設定為八進位制格式。

 自動建立的規則

最初的，檔案目錄僅包含3個基本的acl規則。為了使規則能正常執行，需要滿足以下規則。

- 3個基本規則不能被刪除。
- 任何一條包含指定的使用者名稱或群組名的規則必須包含有效的許可權組合。
- 任何一條包含預設規則的規則在使用時，預設規則必須存在。

 ACL的名詞定義

ACL是由一系列的Access Entry所組成的，每一條Access Entry定義了特定的類別可以對檔案擁有的操作許可權。
Access Entry有三個組成部分：
- Entry tag type
- qualifier (optional)
- permission。

Entry tag type它有以下幾個型別：

型別	說明
ACL_USER_OBJ：	相當於Linux裡file_owner的permission
ACL_USER：	定義了額外的使用者可以對此檔案擁有的permission
ACL_GROUP_OBJ：	相當於Linux裡group的permission
ACL_GROUP：	定義了額外的組可以對此檔案擁有的permission
ACL_MASK：	定義了ACL_USER,ACL_GROUP_OBJ和ACL_GROUP的最大許可權
ACL_OTHER：	相當於Linux裡other的permission

 舉例例子說明一下

下面我們就用getfacl命令來檢視一個定義好了的ACL檔案：

[root@localhost ~]# getfacl ./test.txt
#file: test.txt
#owner: root
#group: admin
user::rw-
user:john:rw-
group::rw-
group:dev:r--
mask::rw-
other::r--

前面三個以#開頭的定義了檔名，fi
 le owner和group。這些資訊沒有太大的作用，接下來我們可以用--omit-header來省略掉。

型別	說明
user::rw-	定義了ACL_USER_OBJ, 說明file owner擁有read and write permission
user:john:rw-	定義了ACL_USER,這樣使用者john就擁有了對檔案的讀寫許可權,實現了我們一開始要達到的目的
group::rw-	定義了ACL_GROUP_OBJ,說明檔案的group擁有read and write permission
group:dev:r--	定義了ACL_GROUP,使得dev組擁有了對檔案的read permission
mask::rw-	定義了ACL_MASK的許可權為read and write
other::r--	定義了ACL_OTHER的許可權為read

從這裡我們就可以看出ACL提供了我們可以定義特定使用者和使用者組的功能，那麼接下來我們就來看一下如何設定一個檔案的ACL：

 如何設定ACL檔案

首先我們還是要講一下設定ACL檔案的格式，從上面的例子中我們可以看到每一個Access Entry都是由三個被：號分隔開的欄位所組成，第一個就是Entry tag type。

- user 對應了ACL_USER_OBJ和ACL_USER 
- group 對應了ACL_GROUP_OBJ和ACL_GROUP
- mask 對應了ACL_MASK
- other 對應了ACL_OTHER

第二個欄位稱之為qualifier，也就是上面例子中的john和dev組，它定義了特定使用者和擁護組對於檔案的許可權。這裡我們也可以發現只有user和group才有qualifier，其他的都為空。第三個欄位就是我們熟悉的permission了。它和Linux的permission一樣定義，這裡就不多講了。

 範例一：

 設定test.txt這個檔案的ACL讓它來達到我們上面的要求。

一開始檔案沒有ACL的額外屬性：

[root@localhost ~]# ls -l -rw-rw-r-- 1 root admin 0 Jul 3 22:06 test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt user::rw- group::rw- other::r--

 我們先讓使用者john擁有對test.txt檔案的讀寫許可權：

[root@localhost ~]# setfacl -m user:john:rw- ./tes
 t.txt
 [root@localhost ~]# getfacl --omit-header ./test.txt
 user::rw-
 user:john:rw-
 group::rw-
 mask::rw-
 other::r--

  這時我們就可以看到john使用者在ACL裡面已經擁有了對檔案的讀寫權。

這個時候如果我們檢視一下linux的permission我們還會發現一個不一樣的地方。

[root@localhost ~]# ls -l ./test.txt 
-rw-rw-r--+ 1 root admin 0 Jul 3 22:06 ./test.txt 

在檔案permission的最後多了一個+號，當任何一個檔案擁有了ACL_USER或者ACL_GROUP的值以後我們就可以稱它為ACL檔案，這個+號就是用來提示我們的。

 我們還可以發現當一個檔案擁有了ACL_USER或者ACL_GROUP的值時ACL_MASK同時也會被定義。

 接下來我們來設定dev組擁有read permission：

[root@localhost ~ ]# setfacl -m group:dev:r-- ./test.txt
[root@localhost ~]# getfacl --omit-header ./test.txt
user::rw-
user:john:rw-
group::rw-
group:dev:r-- 
mask::rw-
other::r--

 到這裡就完成了我們上面講到的要求，是不是很簡單呢。
 

 ACL_MASKEffective permission

這裡需要重點講一下ACL_MASK，因為這是掌握ACL的另一個關鍵，在Linux file permission裡面大家都知道比如對於rw-rw-r--來說, 當中的那個rw-是指檔案組的permission. 但是在ACL裡面這種情況只是在ACL_MASK不存在的情況下成立。如果檔案有ACL_MASK值，那麼當中那個rw-代表的就是mask值而不再是group permission了。 

 讓我們來看下面這個例子： 

[root@localhost ~]# ls -l
-rwxrw-r-- 1 root admin 0 Jul 3 23:10 test.sh 

這裡說明test.sh檔案只有file owner: root擁有read, write, execute/search permission。admin組只有read and write permission

 讓使用者john也對test.sh具有和root一樣的permission。

[root@localhost ~]# setfacl -m user:john:rwx ./test.sh 
[root@localhost ~]# getfacl --omit-header ./test.sh 
user::rwx user:john:rwx 
group::rw- 
mask::rwx
other::r--

這裡我們看到john已經擁有了rwx的permission，mask值也被設定為rwx，那是因為它規定了ACL_USER，ACL_GROUP和ACL_GROUP_OBJ的最大值，現在我們再來看test.sh的Linux permission，它已經變成了：

[root@localhost ~]# ls -l
-rwxrwxr--+ 1 root admin 0 Jul 3 23:10 test.sh 

那麼如果現在admin組的使用者想要執行test.sh的程式會發生什麼情況呢？它會被permission deny。原因在於實際上admin組的使用者只有read and write permission，這裡當中顯示的rwx是ACL_MASK的值而不是group的permission。

所以從這裡我們就可以知道，如果一個檔案後面有+標記，我們都需要用getfacl來確認它的permission，以免發生混淆。
下面我們再來繼續看一個例子，假如現在我們設定test.sh的mask為read only，那麼admin組的使用者還會有write permission嗎？

[root@localhost ~]# setfacl -m mask::r-- ./test.sh
[root@localhost ~]# getfacl --omit-header ./test.sh
user::rwx
user:john:rwx #effective:r--
group::rw- #effective:r-- 
mask::r--
other::r--

這時候我們可以看到ACL_USER和ACL_GROUP_OBJ旁邊多了個#effective:r--，這是什麼意思呢？讓我們再來回顧一下ACL_MASK的定義。它規定了ACL_USER，ACL_GROUP_OBJ和ACL_GROUP的最大許可權。那麼在我們這個例子中他們的最大許可權也就是read only。雖然我們這裡給ACL_USER和ACL_GROUP_OBJ設定了其他許可權，但是他們真正有效果的只有read許可權。
這時我們再來檢視test.sh的Linux file permission時它的group permission也會顯示其mask的值(r--)

[root@localhost ~]# ls -l
-rwxr--r--+ 1 root admin 0 Jul 3 23:10 test.sh

 Default ACL

上面我們所有講的都是Access ACL，也就是對檔案而言。下面我簡單講一下Default ACL。Default ACL是指對於一個目錄進行Default ACL設定，並且在此目錄下建立的檔案都將繼承此目錄的ACL。

同樣我們來做一個試驗說明，比如現在root使用者建立了一個dir目錄：

[root@localhost ~]# mkdir dir

他希望所有在此目錄下建立的檔案都可以被john使用者所存取，那麼我們就應該對dir目錄設定Default ACL。

[root@localhost ~]# setfacl -d -m user:john:rw ./dir
[root@localhost ~]# getfacl --omit-header ./dir
user::rwx
group::rwx
other::r-x
default:user::rwx
default:user:john:rwx
default:group::rwx
default:mask::rwx
default: other::r-x

這裡我們可以看到ACL定義了default選項，john使用者擁有了default的read, write, excute/search permission。所有沒有定義的default都將從file permission裡copy過來，現在root使用者在dir下建立一個test.txt檔案。 

[root@localhost ~]# touch ./dir/test.txt
[root@localhost ~]# ls -l ./dir/test.txt
-rw-rw-r--+ 1 root root 0 Jul 3 23:46 ./dir/test.txt
[root@localhost ~]# getfacl --omit-header ./dir/test.txt 
user::rw-
user:john:rw-
group::rwx #effective:rw-
mask::rw-
other::r-- 

這裡我們看到在dir下建立的檔案john使用者自動就有了read and write permission

 ACL相關命令

前面的例子中我們都注意到了getfacl命令是用來讀取檔案的ACL，setfacl是用來設定檔案的Acess ACL。這裡還有一個chacl是用來改變檔案和目錄的Access ACL and Default ACL，它的具體引數大家可以去看man page。我只想提及一下chacl -B。它可以徹底刪除檔案或者目錄的ACL屬性(包括Default ACL)，比如你即使用了setfacl -x刪除了所有檔案的ACL屬性，那個+號還是會出現在檔案的末尾，所以正確的刪除方法應該是用chacl -B用cp來複製檔案的時候我們現在可以加上-p選項。
這樣在拷貝檔案的時候也將拷貝檔案的ACL屬性，對於不能拷貝的ACL屬性將給出警告。
mv命令將會預設地移動檔案的ACL屬性，同樣如果操作不允許的情況下會給出警告。 

 需要注意的幾點 如果你的檔案系統不支援ACL的話，你也許需要重新mount你的file system：

mount -o remount, acl [mount point] 如果用chmod命令改變Linux file perm
 ission的時候相應的ACL值也會改變，反之改變ACL的值，相應的file permission也會改變。

 範例二

 1.準備工作

 首先建立一個512KB的空白檔案：

[root@FC3-vm opt]#  dd if=/dev/zero of=/opt/testptn count=512
512+0 records in
512+0 records out

 和一個loop裝置聯絡在一起：

[root@FC3-vm opt]#  losetup /dev/loop0 /opt/testptn

 建立一個EXT2的檔案系統：

[root@FC3-vm opt]#  mke2fs /dev/loop0
mke2fs 1.35 (28-Feb-2004)
max_blocks 262144, rsv_groups = 32, rsv_gdb = 0
Filesystem label=
OS type: Linux
Block size=1024 (log=0)
Fragment size=1024 (log=0)
32 inodes, 256 blocks
12 blocks (4.69%) reserved for the super user
First data block=1
1 block group
8192 blocks per group, 8192 fragments per group
32 inodes per group

Writing inode tables: done
Writing superblocks and filesystem accounting information: done

This filesystem will be automatically checked every 30 mounts or
180 days, whichever comes first. Use tune2fs -c or -i to override.

 掛載新建的檔案系統

注意mount選項裡的acl標誌，我們靠它來通知核心我們需要在這個檔案系統中使用ACL

[root@FC3-vm opt]#  mount -o rw,acl /dev/loop0 /mnt
[root@FC3-vm opt]#  cd /mnt
[root@FC3-vm mnt]#  ls
lost+found

現在我已經得到了一個小型的檔案系統。而且是支援ACL的。並且即使徹底損壞也不會影響硬碟上其他有價值的資料。可以開始我們的ACL體驗之旅了。

回頁首

 2.ACL的基本操作：新增和修改

 首先新建一個檔案作為實施ACL的物件：

[root@FC3-vm mnt]#  touch file1
[root@FC3-vm mnt]#  ls -l file1
-rw-r--r-- 1 root root     7 Dec 11 00:28 file1

 檢視這個檔案預設的ACL

這時這個檔案除了通常的UGO的許可權之外，並沒有ACL

[root@FC3-vm mnt]#  getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
group::r--
other::r--

注意：即使是不支援ACL的情況下，getfacl仍然能返回一個這樣的結果。不過setfacl是不能工作的。

 新增幾個使用者和組，一會我將使用ACL賦予他們不同的許可權：

[root@FC3-vm mnt]#  groupadd testg1
[root@FC3-vm mnt]#  useradd testu1
[root@FC3-vm mnt]#  useradd testu2
[root@FC3-vm mnt]#  usermod -G testg1 testu1

 現在我們看看testu1能做什麼：

[root@FC3-vm mnt]# su testu1
[testu1@FC3-vm mnt]$ echo "testu1" >> file1
bash: file1: Permission denied

失敗了。因為file1並不允許除了root以外的使用者寫。

 修改file1的ACL賦予testu1足夠的許可權：

[root@FC3-vm mnt]# setfacl -m u:testu1:rw file1
[root@FC3-vm mnt]# su testu1
[testu1@FC3-vm mnt]$ echo "testu1" >> file1
[testu1@FC3-vm mnt]$ cat file1
testu1

修改成功了，使用者testu1可以對file1做讀寫操作了。

 我們來看一下file1的ACL

[testu1@FC3-vm mnt]$ getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
user:testu1:rw-
group::r--
mask::rw-
other::r--

 我們ls看一下：

[root@FC3-vm mnt]# ls -l file1
-rw-rw-r--+ 1 root root     7 Dec 11 00:28 file1

可以看到那個"+"了麼？就在通常我們看到的許可權位的旁邊。這個說明file1設定了ACL

 修改一下testu1的許可權，同時給testg1這個組以讀的許可權：

[root@FC3-vm mnt]# setfacl -m u:testu1:rwx,g:testg1:r file1
[root@FC3-vm mnt]# getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
user:testu1:rwx
group::r--
group:testg1:r--
mask::rwx
other::r--

可以看到設定後的許可權，testu1已經有了執行的許可權，而testg1這個組也獲得了讀取檔案內容的許可權。也許有人已經注意到了兩個問題：首先，file1的組許可權從r--變成了rw-。其次，mask是什麼？為什麼也變化了呢？我們先從mask說起。如果說acl的優先順序高於UGO，那麼mask就是一個名副其實的最後一道防線。它決定了一個使用者/組能夠得到的最大的許可權。這樣我們在不破壞已有ACL的定義的基礎上，可以臨時提高或是降低安全級別：

 設定預設MASK

[root@FC3-vm mnt]# setfacl -m mask::r file1
[root@FC3-vm mnt]# getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
user:testu1:rwx                 #effective:r--
group::r--
group:testg1:r--
mask::r--
other::r--

[root@FC3-vm mnt]# ls -l file1
-rw-r--r--+ 1 root root 7 Dec 11 00:28 file1

在testu1對應的ACL項的後邊出現了effective的字樣，這是實際testu1得到的許可權。Mask只對其他使用者和組的許可權有影響，對owner和other的許可權是沒有任何影響的。 執行ls的結果也顯示UGO的設定也有了對應的變化。因為在使用了ACL的情況下，group的許可權顯示的就是當前的mask。通常我們把mask設定成rwx，以不阻止任何的單個ACL項。

需要注意的是，每次修改或新增某個使用者或組的ACL項的時候，mask都會隨之修改以使最新的修改能夠真正生效。所以如果需要一個比較嚴格的mask的話，可能需要每次都重新設定一下mask。

 3. ACL的其他功能：刪除和覆蓋

 何刪除已有的ACL項

[root@FC3-vm mnt]# setfacl -x g:testg1 file1
[root@FC3-vm mnt]# getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
user:testu1:rwx
group::r--
mask::rwx
other::r--

我們看到testg1的許可權已經被去掉了。

 去掉所有的ACL可以用-b選項。所有的ACL項都會被去掉。

[root@FC3-vm mnt]# setfacl -b file1
[root@FC3-vm mnt]# getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
group::r--
other::r--

我們可以用--set 設定一些新的ACL項，並把原有的ACL項全部都覆蓋掉。和-m不同，-m選項只是修改已有的設定或是新增加一些。--set選項會把原有的ACL項都刪除，用新的替代，需要注意的是一定要包含UGO的設定，不能象-m一樣只是新增ACL就可以了。

 --set設定新acl項 

[root@FC3-vm mnt]# setfacl --set u::rw,u:testu1:rw,g::r,o::- file1
[root@FC3-vm mnt]# getfacl file1
# file: file1
# owner: root
# group: root
user::rw-
user:testu1:rw-
group::r--
mask::rw-
other::---

o::-是另一個需要注意的地方。其實完整的寫法是other::---，正如u::rw的完整寫法是user::rw-。通常我們可以把"-"省略，但是當許可權位只包含"-"時，必須至少保留一個。如果寫成了o::，就會出現錯誤。

 對目錄下的所有子目錄都設定同樣的ACL，可以使用-R引數：

[root@FC3-vm mnt]# setfacl --set u::rw,u:testu1:rw,g::r,o::- dir1

 從一個檔案來讀入ACL，並修改當前的檔案的ACL，可以用-M引數：

[root@FC3-vm mnt]# cat test.acl
user:testu1:rw-
user:testu2:rw-
group:testg1:r--
group:testg2:r--
mask::rw-
other::---

 4.目錄的預設ACL

如果我們希望在一個目錄中新建的檔案和目錄都使用同一個預定的ACL，那麼我們可以使用預設(Default) ACL。在對一個目錄設定了預設的ACL以後，每個在目錄中建立的檔案都會自動繼承目錄的預設ACL作為自己的ACL。用setfacl的-d選項就可以做到這一點：

[root@FC3-vm mnt]# setfacl -d --set g:testg1:rwx dir1
[root@FC3-vm mnt]# getfacl dir1
# file: dir1
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:testg1:rwx
default:mask::rwx
default:other::r-x

可以看到預設ACL已經被設定了。建立一個檔案試試：

 新建一個檔案測試

[root@FC3-vm mnt]# touch dir1/file1
[root@FC3-vm mnt]# getfacl dir1/file1
# file: dir1/file1
# owner: root
# group: root
user::rw-
group::r-x                      #effective:r--
group:testg1:rwx                #effective:rw-
mask::rw-
other::r--

file1自動繼承了dir1對testg1設定的ACL。只是由於mask的存在使得testg1只能獲得rw-許可權。

 5.備份和恢復ACL

主要的檔案操作命令cp和mv都支援ACL，只是cp命令需要加上-p 引數。但是tar等常見的備份工具是不會保留目錄和檔案的ACL資訊的。 如果希望備份和恢復帶有ACL的檔案和目錄，那麼可以先把ACL備份到一個檔案裡。以後用--restore選項來回復這個檔案中儲存的ACL資訊：

[root@FC3-vm mnt]# getfacl -R dir1 > dir1.acl
[root@FC3-vm mnt]# ls -l dir1.acl
total 16
-rw-r--r--  1 root root   310 Dec 12 21:10 dir1.acl

 用-b選項刪除所有的ACL資料，來模擬從備份中回復的檔案和目錄：

[root@FC3-vm mnt]# setfacl -R -b dir1
[root@FC3-vm mnt]# getfacl -R dir1
# file: dir1
# owner: root
# group: root
user::rwx
group::r-x
other::r-x

# file: dir1/file1
# owner: root
# group: root
user::rw-
group::r--
other::r--

 現在我們從dir1.acl中恢復被刪除的ACL資訊：

[root@FC3-vm mnt]# setfacl --restore dir1.acl
[root@FC3-vm mnt]# getfacl -R dir1
# file: dir1
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:group::r-x
default:group:testg1:rwx
default:mask::rwx
default:other::r-x

# file: dir1/file1
# owner: root
# group: root
user::rw-
group::r-x                      #effective:r--
group:testg1:rwx                #effective:rw-
mask::rw-
other::r--

 6.結語

ACL 的引入使得大規模的複雜許可權管理可以很容易的在 Linux 上實現。對於 /home 這樣存放大量使用者檔案的分割區，可以做到更有效的管理。但是我們也看到在備份工具等方面的欠缺，好在 FC2 中已經開始包含了 star 這樣的支援 ACL 的備份工具，雖然還是 alpha 版。

在單個檔案的 ACL 條目的數量上，不同的檔案系統有不同的限制。Ext2 和 Ext3 只能支援每個檔案 25 個 ACL 條目。ReiserFS 和 JFS 可以支援超過 8,000 個條目。這個方面 Ext* 檔案系統還需要加強。

無論多麼複雜的系統中，檔案系統的許可權管理都是最基礎的內容。而 Linux 對 ACL的支援，無疑是一把管理海量使用者系統的利器，對 Linux 在大規模的企業級應用中更方便的發揮更大的作用添了一把火。

 mask

acl許可權中有個"mask"的選項，它就是ACL許可權的最大許可權，現在是rwx，當你設定某個使用者或組的ACL許可權時，要跟mask的許可權“相與”之後產生的許可權才是該使用者的最終許可權，也就是加入mask的最大許可權是rx,但是你給st使用者設定的是rwx許可權，此時st使用者它的許可權只有rx的許可權，因為與最大許可權“相與”得出的結果就是rx。
如果說ACL的優先順序高於UGO，那麼mask就是一個名副其實的最後一道防線。它決定了一個使用者/組能夠得到的最大的許可權。這樣我們在不改變已有ACL的定義的基礎上，可以臨時提高或是降低安全級別：

zhou@zhou-desktop:~/Temp$ setfacl -m mask::r aclTest/
zhou@zhou-desktop:~/Temp$ getfacl aclTest/
# file: aclTest
# owner: zhou
# group: zhou
user::rwx
user:guest:rwx                #effective:r--
group::r-x                      #effective:r--
group:guest:rwx              #effective:r--
mask::r--
other::r-x

可以看到，在我們將mask存取許可權設定為唯讀時，mask行以上的ACL許可權，除檔案所有者外，都變成了唯讀，即#effective:r--所標識的實際許可權。這就為臨時改變整體許可權和迅速恢復提供了便利。mask只對其他使用者和組的許可權有影響，對owner和other的許可權是沒有任何影響的。在使用了ACL的情況下，group的許可權顯示的就是當前的mask。通常我們把mask設定成rwx，以不阻止任何的單個ACL項到此為止。