Gebruikers en rechten

Linux is vanaf het begin gebouwd voor meerdere gebruikers op één computer. Een webserver mag de websitebestanden lezen, maar niet je wachtwoorden. Een collega mag je projectmap bewerken, maar een willekeurige andere gebruiker niet. Dat regelt Linux met gebruikers, groepen en rechten op elk bestand. Wie een server beheert, komt rechtenproblemen dagelijks tegen: "Permission denied" is een van de meest voorkomende foutmeldingen. In deze les leer je die lezen en oplossen, en leer je verantwoord omgaan met beheerrechten.

Gebruikers en groepen

Elke gebruiker heeft een naam en een nummer (UID), en hoort bij een of meer groepen (GID). Met id zie je wie je bent:

$ id
uid=1000(student) gid=1000(student) groups=1000(student),27(sudo),1001(webteam)

• student is lid van zijn eigen groep student, van sudo (mag beheerderscommando's uitvoeren) en van webteam.
• Gebruikers staan in /etc/passwd, groepen in /etc/group. Bekijk ze gerust met less; wachtwoorden staan er niet in (die staan versleuteld in /etc/shadow, alleen leesbaar voor root).
• Veel gebruikers zijn geen mensen maar diensten, zoals www-data voor de webserver. Zo draait elke dienst met zo min mogelijk rechten.

Er is één bijzondere gebruiker: root (UID 0). Root mag alles, ook alles kapotmaken.

Rechten lezen in ls -l

$ ls -l
-rw-r--r-- 1 student student  320 Oct 12 10:15 notities.txt
-rwxr-xr-x 1 student student  812 Oct 12 10:16 backup.sh
drwxrws--- 2 student webteam 4096 Oct 12 10:17 project

Het eerste blok van tien tekens lees je zo:

 d   rwx   rws   ---
 │    │     │     └── rechten voor anderen (others)
 │    │     └──────── rechten voor de groep (group)
 │    └────────────── rechten voor de eigenaar (user)
 └─────────────────── soort: - = bestand, d = map, l = link

Daarna volgen het aantal links, de eigenaar, de groep, de grootte, de datum en de naam.

Let op het verschil bij mappen. Of je een bestand mag verwijderen, hangt af van de w op de map, niet op het bestand. En zonder x op een map kom je er niet in, zelfs als je r hebt.

Linux controleert in volgorde: ben je de eigenaar, dan gelden de eigenaarsrechten. Anders: zit je in de groep, dan gelden de groepsrechten. Anders gelden de rechten voor anderen.

Octale notatie

Rechten worden vaak als getal geschreven. Elk recht heeft een waarde, en per groep tel je ze op:

Drie cijfers achter elkaar zijn eigenaar, groep en anderen. Veelgebruikte combinaties:

chmod: rechten wijzigen

chmod 644 notities.txt          # octaal
chmod 755 backup.sh
chmod u+x backup.sh             # symbolisch: eigenaar krijgt x erbij
chmod g-w,o= notities.txt       # groep verliest w, anderen krijgen niets
chmod -R g+w project            # recursief voor een hele map

In de symbolische vorm is u de eigenaar (user), g de groep, o de anderen en a iedereen. + geeft erbij, - haalt weg, = zet precies. stat -c '%a %A' bestand toont de rechten als getal en als tekst naast elkaar.

chown: eigenaar en groep wijzigen

sudo chown sam rapport.txt              # nieuwe eigenaar
sudo chown sam:webteam rapport.txt      # eigenaar en groep
sudo chgrp webteam rapport.txt          # alleen de groep
sudo chown -R www-data:www-data /var/www/site

Een bestand aan iemand anders geven mag alleen root, vandaar de sudo.

Sudo en root

Inloggen als root is riskant: elke tikfout heeft volledige rechten. Daarom werk je als gewone gebruiker en zet je sudo (superuser do) alleen voor een commando dat beheerrechten nodig heeft:

$ cat /etc/shadow
cat: /etc/shadow: Permission denied
$ sudo cat /etc/shadow
[sudo] password for student:

sudo vraagt jouw wachtwoord, en werkt alleen als je in de groep sudo (op Debian/Ubuntu) of wheel (op Fedora/RHEL) zit. Elk sudo-commando wordt gelogd.

Regels voor verantwoord gebruik:

• Gebruik sudo alleen als het commando zonder faalt en je begrijpt waarom het rechten nodig heeft.
• Los "Permission denied" niet op met chmod 777. Dat geeft iedereen alle rechten, ook kwaadwillenden. Zoek uit wie toegang nodig heeft en geef precies dat.
• Werk niet langdurig in een root-shell (sudo -i). Doe je klus en exit.

Een gedeelde map voor een groep

Een veelvoorkomende taak: een map waarin een team samen werkt.

sudo groupadd webteam                    # groep maken
sudo usermod -aG webteam sam             # sam toevoegen (let op -a!)
sudo usermod -aG webteam noor
sudo mkdir /srv/website
sudo chown root:webteam /srv/website
sudo chmod 2770 /srv/website

• usermod -aG voegt een groep toe. Zonder -a vervang je alle andere groepen van de gebruiker; een klassieke fout.
• Groepslidmaatschap geldt pas na opnieuw inloggen.
• De 2 vooraan in 2770 is het setgid-bit: nieuwe bestanden in deze map krijgen automatisch de groep webteam, in plaats van de persoonlijke groep van wie ze maakt. In ls -l zie je dat als een s op de plek van de groeps-x: drwxrws---.

Oefenen

Oefening 1. Lees: -rw-r----- 1 sam webteam 2048 Oct 12 begroting.xlsx. Wie mag wat? Wat is het octale getal?

Oefening 2. Je script backup.sh geeft Permission denied bij ./backup.sh. ls -l toont -rw-r--r--. Wat doe je?

Oefening 3. Een collega stelt voor om een probleem met de webserver op te lossen met sudo chmod -R 777 /var/www. Waarom is dat een slecht idee, en wat is beter?

Lab: een gedeelde projectmap

Samenvatting

• Elke gebruiker heeft een UID en groepen; id laat ze zien. Root (UID 0) mag alles.
• ls -l toont rechten voor eigenaar, groep en anderen: r lezen, w schrijven, x uitvoeren of binnengaan.
• Octaal: r=4, w=2, x=1. Veelgebruikt: 644, 600, 755, 700, 770.
• chmod wijzigt rechten, chown eigenaar en groep.
• Gebruik sudo per commando en met beleid; los rechtenproblemen nooit op met 777.

In les 5 leer je bestanden bewerken in de terminal met nano en vim, en veilig configuratiebestanden aanpassen.