linuxでのグループ権限

Question

linuxでファイル操作する際、所有者、グループ、その他の3つの権限に対する理解が必須だと思いますが、グループってどんなシチュエーションで役に立つんでしょうか？
権限を付与するときはだいたいその他に合わせて755や777で権限を与えていて、特に意識することがなかったので疑問です。

Answer 1

一人だけしか使わない場合や、一つのプロセスだけしか使わない場合は
無縁のような気がしますが、複数で使用する場合などに役に立ちます。

たとえば、Aさん、Bさん、Cさん共同で使うLinuxがあったとして、
AさんとBさんが共同で使うけどCさんには見せたくないディレクトリ"/share"が
必要になったというシチュエーションを考えて下さい。
"/share"に与える権限ですが、Aさんを所有者にして"700"にしてしまうと、Bさんには見えません。
逆にBさんを所有者にすると、こんどはAさんに見えなくなってしまいます。
そこで、AさんとBさん両方が属するグループをつくります。
"/share"の所有グループをそのグループにして"770"に設定すれば、AさんにもBさんにも見えます。
でも、Cさんはそのグループに所属していないので、見ることができません。
単体Linuxではあまり必要に見えませんが、ファイルサーバとして共有を公開するときなどは、
このようにグループ毎に権限を限定したときに使う場合が多いです。

他にも応用編としてと、

• 特定のグループに所属しないと使えないコマンドを"750"に設定する。
• 権限の異なる複数のサービスから共通で読み書きされるファイルに"660"や"640"を与える。

などがあります。

ただ、この方法は、所有者や所有グループは一つだけしか指定できない、
複数ユーザをまとめるグループを作らないといけない、継承ができないなど制限があるため、
より柔軟な設定ができるACLという機能が別にあります。

Comments

[lupus_dingo]

わかりやすい説明ありがとうございます。
グループにユーザ追加したことがなかったのでイメージがつきにくかったですが、確かに複数ユーザ使用するときに必要ですね。
ACLは初耳なので検索してみます。

Answer 2

読み書きできる領域をグループごとに制限したい時に使ってました。

例えば

• プロパーはどのリポジトリも読み書きできるが、協力社員は関わるリポジトリのみ読み書きできる
• Webサイトのメンテナンスに関わる社員はサイトのディレクトリを読み書きできるが、関わらないメンバーは書き込み禁止

等々です。そういった運用が不要であれば、あまり気にする必要ないでしょう。

Comments

[lupus_dingo]

回答ありがとうございます。
あげて頂いた例のようなことは今までなかった、というかユーザを共通して使用していたので考える必要がなかったんですね。