Как использовать ACL для управления правами доступа

Управление правами доступа — критически важный аспект безопасности и администрирования в современных операционных системах. Традиционные модели разрешений, основанные на владельце, группе и остальных пользователях (owner/group/others), зачастую недостаточны для сложных сценариев. Здесь на помощь приходит ACL — список управления доступом (Access Control List), позволяющий задавать гибкие и точные правила доступа к файлам и каталогам.

Что такое ACL и зачем он нужен

ACL (Access Control List) — это механизм, расширяющий стандартную модель разрешений в Unix-подобных системах. В классической модели права доступа определяются тремя категориями: владелец (user), группа (group) и все остальные (others). Каждая категория может иметь права на чтение (r), запись (w) и выполнение (x). Однако такая модель ограничена: вы не можете, например, дать одному конкретному пользователю право на запись в файл, если он не входит в группу владельца.
Именно эту проблему решает ACL. Он позволяет добавлять дополнительные записи о доступе для отдельных пользователей или групп, независимо от первоначальной принадлежности файла. Это особенно полезно в корпоративных средах, где десятки сотрудников работают с общими ресурсами, но каждый должен иметь строго определённый уровень доступа.
Представьте ситуацию: директор проекта хочет предоставить доступ к конфиденциальным данным только двум специалистам из разных отделов. Без ACL пришлось бы создавать новую группу, переназначать членство, менять владельца файла — всё это сложно и чревато ошибками. С ACL вы просто добавляете двух пользователей с нужными правами, минуя лишние шаги.

Как работает ACL: принципы и компоненты

ACL состоит из набора правил, каждое из которых определяет, кто и какие действия может выполнять с объектом (файлом или каталогом). Эти правила хранятся как расширенные атрибуты файловой системы. Каждая запись в ACL называется ACE (Access Control Entry) и содержит три основных элемента: субъект (пользователь или группа), тип доступа (разрешение) и флаги (например, маска).
Стандартный вывод команды ls -l при наличии ACL показывает знак + в конце строки прав доступа:

-rw-r--r--+ 1 user group 0 Apr 16 12:00 file.txt

Наличие + указывает, что к файлу применён расширенный ACL.
Внутри ACL различают два типа записей:

• Named User (u::) — права для конкретного пользователя, не являющегося владельцем;
• Named Group (g::) — права для конкретной группы, отличной от группы-владельца.

Кроме того, существуют специальные записи:

• mask — ограничивает максимальные права, которые могут быть назначены группе и именованным пользователям;
• default ACL — применяется к новым файлам и каталогам внутри директории, работает только на уровне каталогов.

Настройка и включение ACL на Linux

Прежде чем использовать ACL, необходимо убедиться, что файловая система его поддерживает и правильно смонтирована. Большинство современных дистрибутивов активируют ACL по умолчанию, но проверить стоит всегда.
Шаги для проверки и включения:

1. Проверьте тип файловой системы: df -T /path/to/partition. Убедитесь, что это ext4, XFS или другая поддерживающая ACL.
2. Узнайте параметры монтирования: mount | grep $(df . | tail -1 | awk '{print $1}'). Ищите в выводе acl или noacl.
3. Если acl отсутствует, добавьте его в опции монтирования в /etc/fstab:
   UUID=... /home ext4 defaults,acl 0 2
4. Перемонтируйте раздел: sudo mount -o remount,acl /home

Для временного включения ACL без перезагрузки используйте:

sudo mount -o remount,acl /dev/sdXn /mount/point

После включения ACL можно проверить его работу с помощью тестового файла:

touch test_acl.txt
setfacl -m u:username:r test_acl.txt
getfacl test_acl.txt

Базовые команды ACL: getfacl и setfacl

Две основные утилиты для работы с ACL — getfacl и setfacl. Первая отображает текущие правила доступа, вторая позволяет их изменять.
Команда getfacl filename выводит подробную информацию:

• владелец и группа;
• стандартные права (user::, group::, other::);
• именованные пользователя и группы (user:username, group:groupname);
• маску и default ACL (если есть).

Пример вывода:

# file: report.doc
# owner: alice
# group: finance
user::rw-
user:bob:r--
group::r--
mask::r--
other::r--

Команда setfacl используется для модификации:

• -m u:username:permissions — добавить или изменить права для пользователя;
• -m g:groupname:permissions — для группы;
• -x u:username — удалить запись для пользователя;
• -b — полностью очистить ACL (оставив только базовые права);
• -d — установить default ACL для каталога.

Примеры:

setfacl -m u:jane:rw file.txt # jane получает чтение и запись
setfacl -m g:developers:rwx folder/ # группа developers — полный доступ
setfacl -x u:john file.txt # удалить ACL для john

Как работает маска (mask)

Маска автоматически обновляется при использовании setfacl и определяет максимальные права для всех именованных групп и пользователей. Например, если вы добавили пользователя с правами rw-, маска станет rwx → rw-.
Однако если маска установлена вручную как r--, то даже если пользователю явно назначено rw-, он сможет только читать. Это важно учитывать при отладке.

Практические примеры использования ACL

Рассмотрим несколько реальных сценариев, где ACL значительно упрощает управление доступом.

Общий проектный каталог

Команда из пяти человек работает над проектом. Все должны иметь доступ на чтение и запись, но некоторые — только на чтение.
Шаги:

1. Создайте каталог: mkdir project
2. Назначьте владельца: chown lead_user:project_team project
3. Установите default ACL: setfacl -d -m u::rwx,g::rwx,o::- project
4. Добавьте участников: setfacl -m u:analyst1:rx,u:intern:r project

Теперь все новые файлы будут наследовать эти правила.

Контроль доступа к конфиденциальным данным

Финансовый директор хочет, чтобы только два бухгалтера имели доступ к отчётам.
Решение:

setfacl -m u:accountant1:rw reports.xlsx
setfacl -m u:accountant2:rw reports.xlsx

Никаких изменений в группах не требуется. При необходимости доступ можно быстро отозвать:

setfacl -x u:accountant1 reports.xlsx

Временный доступ для внешнего аудитора

Аудитору нужно прочитать логи на неделю.

setfacl -m u:auditor:r /var/log/app/
# Через неделю:
setfacl -x u:auditor /var/log/app/

Распространённые ошибки и как их избежать

Работа с ACL сопряжена с типичными ошибками, особенно у новичков.

Ошибка: маска ограничивает права, хотя они назначены

Вы дали пользователю rw-, но он не может писать. Причина — маска установлена в r--. Решение:

setfacl -m mask::rw file

или переназначьте права через setfacl, что автоматически обновит маску.

Ошибка: default ACL не применяется к новым файлам

Убедитесь, что:

• каталог имеет default ACL (getfacl покажет строки default:...);
• файл создаётся в этом каталоге, а не перемещается;
• файловая система поддерживает ACL и смонтирована с опцией acl.

Ошибка: ACL теряются при копировании или архивации

Стандартные команды cp и tar не сохраняют ACL по умолчанию. Используйте:

• cp --preserve=all или cp -a (архивный режим);
• tar --acls -cf archive.tar /folder — для сохранения ACL в архиве.

Экспертное мнение

При внедрении ACL следует придерживаться нескольких ключевых принципов. Во-первых, начинайте с малого: протестируйте на одном каталоге перед массовым применением. Во-вторых, документируйте все нетипичные ACL — это поможет избежать путаницы при аудите.
Используйте ACL для решения конкретных задач, а не как замену всей модели управления доступом. Стандартные права остаются основой — ACL лишь дополняет их. Избегайте избыточного количества записей: если более 5–7 пользователей имеют индивидуальные права, возможно, стоит пересмотреть структуру групп.
При работе с default ACL помните, что они наследуются только при создании файлов. Перемещение файлов через mv не меняет их ACL, а копирование — да, если используется правильная команда.
Автоматизация — ваш союзник. Напишите скрипты для типовых операций: выдачи доступа новому сотруднику, отзыва при увольнении. Это снижает риск ошибок и ускоряет процессы.

Вопросы и ответы

Заключение

ACL — мощный инструмент для тонкой настройки прав доступа в Unix-подобных системах. Он преодолевает ограничения классической модели owner/group/others, позволяя точно управлять доступом для отдельных пользователей и групп. Его использование особенно оправдано в многопользовательских средах, где важна гибкость и безопасность.

• ACL расширяет стандартные права, позволяя назначать доступ для отдельных пользователей и групп.
• Для работы ACL файловая система должна быть смонтирована с опцией acl.
• Команды getfacl и setfacl — основа управления списками доступа.
• Default ACL позволяет автоматически применять права к новым файлам в каталоге.
• ACL теряются при некорректном копировании — используйте cp -a или tar --acls.