Comment donner des autorisations pour lire, écrire, mais pas supprimer le fichier

Je veux donner aux utilisateurs la possibilité de créer des fichiers d'écriture et de lecture dans un autre répertoire utilisateur, mais ne pas avoir la possibilité de supprimer le fichier après sa création (le sticky bit ne fonctionnera pas ici ...) par exemple:

J'ai un utilisateur manager avec un répertoire repository
J'ai un utilisateur worker1qui doit écrire des fichiers /manager/repositorymais
je ne peux pas supprimer les fichiers J'ai un utilisateur worker2qui doit écrire des fichiers /manager/repository mais
je ne peux pas supprimer les fichiers J'ai un utilisateur worker3qui doit écrire des fichiers /manager/repository mais ne peut pas supprimer les fichiers

mais worker 1-2-3ne peut pas supprimer les fichiers une fois créés uniquement manageret rootpeut supprimer les fichiers worker 1-2-3créés.

J'ai essayé quelques trucs chownet chmodastuces pour appliquer le bit collant sans succès.

Contrairement à Windows, il n'y a pas d'autorisation de suppression distincte sous Unix / Linux. Le droit de supprimer (ou de créer ou de renommer) un fichier est lié au répertoire contenant. Supprimez l'autorisation d'écriture pour les travailleurs sur /manager/repository/afin de refuser aux travailleurs de créer, supprimer et renommer des fichiers.

Notez qu'il n'est pas possible d'autoriser la création de fichiers mais de refuser leur suppression.

Tout d'abord, assurez-vous que ACL est activé dans votre système, puis exécutez cette commande

setfacl -d -R -m user::rwx,user:worker1:---,user:worker2:---,user:worker3:--- \
/manager/repository

Comment ça fonctionne

• Cette commande donnera des autorisations de lecture, d'écriture et d'exécution au propriétaire sur le répertoire /manager/repository. Il révoquera toutes les autorisations pour worker1, worker2et worker3.

• Cela donnera aux autres utilisateurs un accès en lecture et en écriture mais refusera l'accès à la suppression.

De man setfacl:

-d, --default
       All  operations  apply to the Default ACL.

-R, --recursive
       Apply operations to all files and directories recursively.

-m, --modify
       Options to modify the ACL of a file or directory.

Pour ce faire, avec des autorisations, vous auriez besoin d'un système prenant en charge les ACL similaires aux ACL NFSv4. Par exemple, sur FreeBSD, si le système de fichiers est monté avec l' nfsv4aclsindicateur, vous pouvez faire:

mkdir testdir
chown manager:worker-group testdir
chmod 775 testdir
setfacl -m group@:D::deny testdir

Refuser explicitement l' delete_childautorisation aux membres du worker-groupgroupe.

Cependant, notez que puisque les travailleurs seraient propriétaires des fichiers qu'ils créent, ils seraient toujours en mesure de modifier les listes de contrôle d'accès sur eux, et en s'accordant l' deleteautorisation, cela prévaudrait sur l' delete_childautorisation du répertoire parent et je ne suis pas sûr qu'il y a un moyen de contourner cela (au moins sur les systèmes de fichiers UFS sur FreeBSD). Par exemple, ils pourraient faire:

$ touch file
$ rm -f file
rm: file: Operation not permitted
$ setfacl -m owner@:d::allow file
$ rm -f file
$

Pour prendre des autorisations d'écriture à partir du /manager/repositorydossier. Ainsi, tous les utilisateurs qui ne sont pas root pourront écrire ou supprimer des fichiers à l'intérieur /manager/repository, mais ne supprimer aucun fichier de ce répertoire.

chmod 755 /manager/repository

nous pouvons modifier les fichiers et les dossiers mais ne pouvons pas les supprimer.

Pour supprimer les attributs, exécutez les commandes suivantes:

Pour les fichiers:

$ sudo chattr -R -a file.txt

Pour les répertoires:

$ sudo chattr -R -a dir1/