Cách cấp quyền đọc ghi nhưng không xóa tệp

Tôi muốn cung cấp cho người dùng khả năng tạo tệp ghi và đọc trong thư mục người dùng khác, nhưng không có tùy chọn xóa tệp sau khi tạo (ví dụ như bit dính sẽ không hoạt động ở đây ...):

Tôi có người dùng manager với thư mục repository
Tôi có người dùng worker1cần ghi tệp /manager/repositorynhưng không thể xóa các tệp
tôi có người dùng worker2cần ghi tệp /manager/repository nhưng không thể xóa các tệp
tôi có người dùng worker3cần ghi tệp /manager/repository nhưng không thể xóa các tập tin

nhưng worker 1-2-3không thể xóa các tệp sau khi chỉ được tạo managervà rootcó thể xóa các tệp worker 1-2-3được tạo.

Tôi cố gắng vài chownvà chmodthủ đoạn với việc áp dụng các bit dính nhưng không thành công.

Không giống như Windows, không có quyền xóa riêng biệt trong Unix / Linux. Quyền xóa (hoặc tạo hoặc đổi tên) một tệp được liên kết với thư mục chứa. Xóa quyền ghi cho công nhân trên /manager/repository/để từ chối công nhân tạo, xóa và đổi tên tệp.

Lưu ý rằng không thể cho phép tạo tệp nhưng từ chối xóa chúng.

Trước hết, đảm bảo ACL được bật trong hệ thống của bạn, sau đó chạy lệnh này

setfacl -d -R -m user::rwx,user:worker1:---,user:worker2:---,user:worker3:--- \
/manager/repository

Làm thế nào nó hoạt động

• Lệnh này sẽ cung cấp cho phép đọc, ghi và thực thi quyền cho chủ sở hữu trên thư mục /manager/repository. Nó sẽ thu hồi tất cả các quyền cho worker1, worker2và worker3.

• Điều này sẽ cung cấp cho người dùng khác, truy cập đọc và ghi nhưng sẽ từ chối quyền truy cập xóa.

Từ man setfacl:

-d, --default
       All  operations  apply to the Default ACL.

-R, --recursive
       Apply operations to all files and directories recursively.

-m, --modify
       Options to modify the ACL of a file or directory.

Để làm điều đó với quyền, bạn cần một hệ thống có hỗ trợ cho ACL tương tự như ACL NFSv4. Chẳng hạn, trên FreeBSD, nếu hệ thống tập tin được gắn nfsv4aclscờ, bạn có thể làm:

mkdir testdir
chown manager:worker-group testdir
chmod 775 testdir
setfacl -m group@:D::deny testdir

Để từ chối một cách rõ ràng sự delete_childcho phép đối với các thành viên của worker-groupnhóm.

Tuy nhiên, lưu ý rằng vì các công nhân sẽ là chủ sở hữu của các tệp mà họ tạo, họ vẫn có thể sửa đổi các ACL trên chúng và bằng cách tự cấp deletephép, điều đó sẽ được ưu tiên hơn so với sự delete_childcho phép của thư mục mẹ và tôi thì không chắc chắn có một cách xung quanh đó (ít nhất là trên các hệ thống tập tin UFS trên FreeBSD). Chẳng hạn, họ có thể làm:

$ touch file
$ rm -f file
rm: file: Operation not permitted
$ setfacl -m owner@:d::allow file
$ rm -f file
$

Để có quyền ghi từ /manager/repositorythư mục. Vì vậy, tất cả người dùng không root sẽ có thể ghi hoặc xóa từ các tệp bên trong /manager/repository, nhưng không xóa bất kỳ tệp nào khỏi thư mục này.

chmod 755 /manager/repository

chúng tôi có thể sửa đổi các tập tin và thư mục nhưng không thể xóa.

Để xóa các thuộc tính, hãy chạy các lệnh sau:

Đối với tệp:

$ sudo chattr -R -a file.txt

Đối với thư mục:

$ sudo chattr -R -a dir1/