Проверка прав доступа в Linux: команды, выводы и аудит

Как Linux хранит и показывает права доступа

Кроме стандартных битов, появляются специальные флаги: setuid, setgid и sticky. Например, для /usr/bin/passwd setuid позволяет прервать передачу привилегий в момент запуска, а sticky на /tmp защищает файлы от удаления чужими. Эти флаги можно увидеть как дополнительную букву в начале вывода ls -l или цифру в chmod (например, 4755). Обычно эти сценарии затрагивают сервисные директории, и если вдруг sticky пропадает, нужно понимать, что кто-то изменил поведение безопасности.

На практике: команды, которые действительно помогают

Перечень основных команд:

• ls -l /path — базовая проверка прав на файл или каталог. Смотрим владельца, группу и rwx для каждой категории.
• stat filename — показывает идентификаторы пользователя и группы (UID/GID), время создания и числовой режим. В столбце Access видно значение вроде 0755, что удобно для программного сравнения.
• namei -l /путь/к/файлу — хорош для проверки, не блокирует ли доступ один из каталогов в цепочке из-за ограничений.
• getfacl filename — вытягивает расширенные ACL, которые появляются при использовании setfacl и позволяют различать пользователей, отличных от владельца и группы.
• access -w filename — проверяет, что текущий пользователь может записать файл (команда возвращает код выхода: 0 — доступ есть, 1 — нет). Работает полезно при скриптах.
• id -u и id -Gn — показывают, кем вы являетесь и к каким группам принадлежите, чтобы сопоставить с результатом ls.

Если доступ по SSH выглядит правильным, но скрипт все равно падает, совет: на этапе отладки временно включите set -x и посмотрите, какой именно вызов не может прочитать файл. Затем используйте namei, чтобы пройти путь в разрезе прав. Такой подход спасает от ложных срабатываний, когда кажется, что права выставлены, а фактически один из промежуточных каталогов закрыт.

Чек-лист: что проверить перед запуском сервиса

• Владелец/группа корректны и совпадают с запуском демона.
• Биты rwx соответствуют ожиданиям: выполнение для сценариев, запись только в нужных каталогах.
• Расширенные ACL не дают лишних привилегий другим пользователям.
• Путь до файла не содержит ограничений (смотрим namei -l).
• Учетная запись, запускающая сервис, входит в нужную группу или использует setfacl для доступа.
• Если применяются umask, то директория и файл создаются с нужными битами.

На практике такой чек-лист можно встроить в pre-deploy скрипт: до запуска проверяем stat и getfacl, а если один из пунктов не проходит, не продолжаем. Благодаря этому реже приходят баги, связанные с тем, что файлы не доступны в контейнерах или на разных окружениях.

Профессиональная среда и зарплаты

Системные администраторы и Linux-инженеры отвечают за подобные проверки. В Москве специалисты с опытом 3–5 лет обычно получают от 150 до 220 тыс. ₽, а в регионах — 100–170 тыс. ₽ в зависимости от стека. На практике HR спрашивают: «Как вы проверяете права?», и хотят услышать конкретный набор команд, который можно применить прямо сейчас.

Для тех, кто стремится не только управлять серверами, но и строить процессы и команды, важно добавить навыки тайм-менеджмента, коммуникации и коучинга — это принципиально на этапе масштабирования инфраструктуры и работы с DevOps-командами.

Критерии выбора курсов для тех, кто растет из админа в управленца

• Проверяем, насколько программа ориентирована на практику: реальные кейсы, симуляции, работа с конфликтами распределения прав и ресурсов.
• Смотрим, есть ли поддержка наставника или куратор — без обратной связи сложнее закрепить новые модели поведения.
• Узнаем, какие инструменты и шаблоны дают, например, для проведения ретроспектив по инцидентам безопасности.
• Обращаем внимание на длительность и формат: короткие блоки помогают совмещать учебу с итерированным контролем.
• Важно, чтобы был доступ к курсам и материалам после завершения, особенно если нужно вспомнить, как проводить аудит или выставлять права.

Сравнение рекомендуемых курсов

Для системных аналитиков и администраторов, которым нужно выстроить процессы безопасности, можно посмотреть программу Системное управление процессами и командой. Это даст системную методологию, которая дополняет технические навыки проверки прав.

Если также важно помочь коллегам развиваться и не допускать ошибок при выставлении прав, подробнее о курсе Наставничество и управленческий коучинг раскрывает инструменты наставничества и коучинга, применимые при проведении ревизий.