ACL Linux : setfacl et getfacl

Les ACL POSIX (Access Control Lists) ajoutent aux droits classiques des entrées pour des utilisateurs ou des groupes nommés : « www-data peut lire ce dossier », « le groupe support peut lire ce fichier », sans changer son propriétaire ni son groupe. Ce chapitre explique quand les droits rwx ne suffisent plus, comment lire et poser des ACL avec getfacl et setfacl, le rôle du masque, et les ACL par défaut qui s'héritent dans un dossier.

Quand les droits classiques ne suffisent plus

Les droits rwx ne connaissent qu'un propriétaire et un groupe. Le dossier /srv/www/suivi du chapitre précédent appartient au groupe web-dev, en 2770. Il faut maintenant que :

• www-data (nginx) lise les fichiers, sans pouvoir les modifier ;
• les techniciens du groupe support les lisent pour dépanner ;
• les développeurs gardent le contrôle total.

Mettre www-data dans web-dev lui donnerait l'écriture : une faille dans le site permettrait de le réécrire. Ouvrir les droits aux « autres » donnerait l'accès à tous les comptes. Les ACL règlent le problème proprement.

Les ACL POSIX sont prises en charge par les systèmes de fichiers courants (ext4, XFS, Btrfs) sans option de montage. Les commandes sont dans le paquet acl : sudo apt install acl s'il manque.

Lire une ACL avec getfacl

clambert@srv-web:~$ getfacl -p /srv/www/suivi
# file: /srv/www/suivi
# owner: root
# group: web-dev
# flags: -s-
user::rwx
group::rwx
other::---

Sans ACL, getfacl affiche simplement les droits classiques : user:: (le propriétaire), group:: (le groupe propriétaire), other::. La ligne flags: -s- signale le setgid. L'option -p garde le / initial des chemins ; sans elle, getfacl le retire (avec un avertissement) pour que sa sortie puisse être réappliquée sous un autre dossier.

Poser une ACL avec setfacl

# www-data lit les fichiers et traverse les dossiers ; support aussi
sudo setfacl -R -m u:www-data:rX /srv/www/suivi
sudo setfacl -R -m g:support:rX /srv/www/suivi

Le X majuscule a le même sens qu'avec chmod : le droit de traverser pour les dossiers, sans rendre les fichiers exécutables.

clambert@srv-web:~$ getfacl -p /srv/www/suivi
# file: /srv/www/suivi
# owner: root
# group: web-dev
# flags: -s-
user::rwx
user:www-data:r-x
group::rwx
group:support:r-x
mask::rwx
other::---
clambert@srv-web:~$ ls -ld /srv/www/suivi
drwxrws---+ 3 root web-dev 4096  4 nov.  10:21 /srv/www/suivi

Le + à la fin des droits dans ls -l signale qu'une ACL existe : c'est le seul indice, il faut alors lire getfacl.

Le masque

L'entrée mask:: est la limite maximale des droits accordés aux entrées nommées (user:www-data, group:support) et au groupe propriétaire. Un droit absent du masque n'est accordé à personne de ces catégories, même s'il figure dans leur entrée. setfacl recalcule le masque à chaque modification, comme l'union des droits de ces entrées.

Le piège : chmod sur le groupe modifie le masque, pas l'entrée group::. Après un chmod 750 /srv/www/suivi, le masque devient r-x, et getfacl signale les droits réellement effectifs :

clambert@srv-web:~$ sudo chmod 2750 /srv/www/suivi
clambert@srv-web:~$ getfacl -p /srv/www/suivi | grep -E 'group::|mask'
group::rwx			#effective:r-x
mask::r-x

Le groupe web-dev n'a plus que la lecture effective : les développeurs ne peuvent plus créer de fichiers. Sur un dossier qui a des ACL, on change les droits du groupe avec setfacl -m g::rwx ou setfacl -m m::rwx, pas avec chmod g=.

Les ACL par défaut

Une ACL posée par setfacl -R ne concerne que les fichiers existants. Pour que les fichiers créés ensuite dans un dossier héritent des mêmes entrées, on pose une ACL par défaut sur le dossier, avec -d :

sudo setfacl -R -d -m u:www-data:rX /srv/www/suivi
sudo setfacl -R -d -m g:support:rX /srv/www/suivi
sudo setfacl -R -d -m g::rwx /srv/www/suivi

getfacl les affiche avec le préfixe default:. Un fichier créé dans le dossier reçoit ces entrées comme ACL ordinaire ; un sous-dossier les reçoit à la fois comme ACL ordinaire et comme ACL par défaut, et les transmet à son tour. Le résultat final reste limité par les droits que demande le programme qui crée le fichier : un fichier créé par un éditeur (demande 666) n'aura jamais le x.

Pour copier ou sauvegarder des fichiers en gardant leurs ACL : cp -a, rsync -A, tar --acls. getfacl -R /srv/www/suivi > acl.txt sauvegarde toutes les ACL dans un fichier texte, que setfacl --restore=acl.txt réapplique.

ACL POSIX et permissions NTFS

Le calcul des droits effectifs NTFS combinés aux droits de partage est traité dans le cours Windows Server. Samba, qui partage des dossiers Linux avec des postes Windows, traduit les ACL NTFS en ACL POSIX (Services Linux).

Exercices

# owner: dev-igarnier
# group: web-dev
user::rw-
user:www-data:r--
group::rw-
group:support:r--
mask::r--
other::---

sudo setfacl -R -m g:commercial:rX /srv/exports        # contenu existant
sudo setfacl -d -m g:commercial:rX /srv/exports        # fichiers créés ensuite
getfacl -p /srv/exports

default:user::rwx
default:user:www-data:r-x
default:group::rwx
default:group:support:r-x
default:mask::rwx
default:other::---

user::rw-
user:www-data:r-x       #effective:r--
group::rwx              #effective:rw-
group:support:r-x       #effective:r--
mask::rw-
other::---