Константин Стефанов - Cуперкомпьютеры: администрирование

Как уже упоминалось выше, посмотреть права можно командой ls. В строке прав первым символом показывается тип файла (' -' = файл, ' d' = каталог, ' l' = ссылка, ' s' = сокет и т. п.), далее три группы прав владельца, группы и остальных по три символа ' r/-', ' w/-' ' x/-' для чтения, записи и исполнения соответственно (' -' означает отсутствие прав). Флаг stickyобозначается символом ' t' вместо ' x' в группе «остальные». флаги suid/sgid – символом ' s' вместо ' x' в группе «владелец» или «группа» соответственно. Если за этой строчкой идёт символ ' +', это значит, что на этот файл установлены acl (см. ниже).

Менять права на файл можно командой chmod. Сменить владельца файла – командой chown, группу – chgrp. Для того, чтобы сменить права на файл, команде chmod нужно указать новые в восьмеричном виде или в символьном. Последний вариант позволяет добавить или удалить отдельные права для владельца, группы или остальных, например:

В символьном виде для chmodуказывается один или более символов ' u/g/o/a' (владелец, группа, остальные, все три группы вместе), затем символ ' +' или ' -' для установки или сброса прав, и затем один или более символов ' r/w/x' – какие права затрагиваются. Например, chmod go+rx myfileдобавит права на чтение и исполнение для группы и остальных файлу myfile.

Описанная выше система покрывает множество потребностей, но не все. В попытках улучшить её были созданы различные расширения, реализованные в файловых системах Linux. Одно из них – расширенные атрибуты файлов. Они включены по умолчанию, и их можно смотреть и изменять командами lsattrи chattr. Самые важные для нас:

Таблица 4: некоторые расширенные атрибуты

Если расширенный атрибут запрещает какое-то действие (например удаление), то это распространяется даже на суперпользователя (в отличие от обычных атрибутов). Но суперпользователь может легко снять или установить любой из них.

Другое расширение, как правило требующее активации на файловой системе, – ACL(Access Control List), списки контроля доступа. Посмотреть и изменить их можно командами getfaclи setfacl. Они работают аналогично традиционным правам доступа, рассмотренным выше, однако права на чтение/запись/исполнение теперь можно устанавливать отдельным пользователям и/или группам, а также ограничивать эти права маской. Маска – набор «максимальных» прав из правил acl (традиционные к ним не относятся), которые будут работать. Например, разрешим пользователю vasyaчтение файла и запись в файл test.txt:

Здесь ключ ' -m' указывает модифицировать правила acl. Указав ключ ' --set', можно заменить правила, т. е. удалить старые и заменить новыми (в setfaclможно указать несколько правил одновременно). Ключом ' -x' правила можно удалять. Строка ' u:vasya;rw' указывает на то, что правило относится к пользователю (u = user, g = group, o = others), его и<���я vasya,и устанавливаются права на чтение и запись. Теперь установим маску – разрешим пользователю vasya(и другим, имеющим доступ через правила acl) «не более чем» чтение:

Как видим, правило осталось, но права на запись ограничены маской.

Ещё одно полезное свойство acl – наследование правил. На каталог можно установить acl «по умолчанию», они могут не совпадать с acl на сам каталог, и они будут автоматически применяться ко всем создаваемым файлам и каталогам.

Советуем подробнее прочесть о правах в Linux и опциях вышеупомянутых команд, тут мы их коснулись совсем немного.

Выше мы уже не раз использовали термины «сервис», «демон», «служба». Все они обозначают одно и то же: процесс или группу процессов, которые работают постоянно или автоматически запускаются по запросу. Их задача – обслуживать определённые запросы от пользователей, других процессов, других компьютеров в сети. Например, web-сервер apache– сервис, обслуживающий запросы по http-протоколу. SMTP-сервер отвечает за запросы на передачу почтовых сообщений и т. д. Рассмотрим сервисы, часто используемые в суперкомпьютерах. О некоторых из них мы уже говорили выше и здесь только перечислим их.

Некоторые сервисы запускаются через «супердемон» inetdили более новую его реализацию – xinetd. В этом случае в конфигурационном файле inetd/xinetdописываются необходимые сервисы: команда запуска, на каком порту слушать, от имени какого пользователя запускать и т. п. После запуска inetd/xinetdначинает слушать на указанных портах и при получении запроса запускает соответствующую команду, которой на стандартный поток ввода направляется установленное сетевое соединение. Такой принцип облегчает написание сервиса, а также позволяет более гибко настраивать политику доступа к нему. Например, xinetdпозволяет задать диапазон адресов, с которых разрешён доступ, максимальное число одновременных запросов к сервису и т. п.

Чтобы узнать, работает ли конкретный сервис, можно проверить, запущен ли соответствующий процесс (за исключением сервисов, запускаемых через inetd/xinetd), слушает ли какой-либо процесс нужный порт (если сервис привязан к порту) командой netstat -lpn.

Основные (но не все) сервисы для кластера:

Таблица 5: некоторые стандартные сервисы и их порты

Более полный список можно найти в файле /etc/services– он содержит соответствие номера порта традиционно используемому сервису. Некоторые сервисы в нём не представлены ввиду не очень широкого распространения, и, конечно, ничто не мешает запустить какой-либо сервис на нестандартном порту, не забывайте об этом. Через супердемон inetd/xinetdчасто запускаются такие сервисы, как tftp, echo, ftp.

В системе UNIX несколько тысяч команд, однако в обычной работе пользователю достаточно хорошо знать несколько десятков команд. В этом пособии мы кратко рассмотрим небольшой набор наиболее употребительных команд. В первую очередь потребуются команды для работы с каталогами и файлами. Как и ранее, в квадратных скобках будем указывать необязательные параметры.