SI06 Permisos y ACL

Summary

El vídeo explica cómo funcionan los permisos y listas de control de acceso (ACL) en Ubuntu para gestionar el acceso a carpetas. Crea usuarios, grupos y una estructura de carpetas, asigna permisos con 'chmod' y comprueba quién puede acceder a qué. Explica las limitaciones de los permisos del sistema e introduce las ACL para tener más control. Finalmente, muestra ejemplos de cómo configurar ACL para permitir o denegar el acceso de grupos específicos a carpetas concretas.

Takeaways

• 😊 Vamos a ver cómo funcionan los permisos y listas de control de acceso en Ubuntu
• 👥 Creamos grupos de usuarios (dam y da) con diferentes permisos de lectura, escritura y ejecución
• 📁 Dam puede leer, escribir y ejecutar en su carpeta, da sólo leer y ejecutar
• 🙍‍♀️ La profesora Ichal en el grupo dam, el alumno Gorka en da para probar permisos
• 🚫 Con chmod cambiamos permisos de carpetas dam y da para grupos de usuarios
• 🔐 Añadimos grupo asir sin ningún permiso con setfacl para probar listas de control de acceso
• 📋 Las ACL nos permiten control de acceso más granular que los permisos del sistema operativo
• 👤 Comprobamos funcionamiento con diferentes usuarios en grupos de dam, da y asir
• 🔒 Ponemos el resto de usuarios a 0 permisos para mayor seguridad
• ✅ Realizamos pruebas para validar que los permisos y ACL funcionan correctamente

Q & A

¿Cuál es el objetivo principal del video?

Explicar cómo funcionan los permisos y las listas de control de acceso (ACL) en Ubuntu.

¿Qué carpetas se crean inicialmente para mostrar los permisos?

Se crean las carpetas 'dam' y 'da' dentro de la carpeta 'birt'.

¿Qué grupos de usuarios se configuran inicialmente?

Se configuran los grupos 'dam' y 'da'. En el grupo 'dam' se incluye el usuario 'ichar' y en el grupo 'da' se incluye el usuario 'gorka'.

¿Cómo se modifican los permisos de las carpetas 'dam' y 'da'?

Se modifican con el comando 'chmod 775' para dar permisos de lectura, escritura y ejecución al propietario y al grupo, y solo lectura y ejecución al resto.

¿Cómo se restringen los permisos para el grupo 'asir'?

Se utilizan las ACLs con el comando 'setfacl' para negar explícitamente los permisos de lectura, escritura y ejecución al grupo 'asir'.

¿Cómo se comprueba que los permisos funcionan correctamente?

Se hacen pruebas iniciando sesión con diferentes usuarios y tratando de acceder y modificar archivos donde no tienen permisos configurados.

¿Por qué al final se cambian los permisos para que 'resto' no tenga acceso?

Para mayor seguridad, evitando que otros grupos o usuarios no definidos explícitamente puedan acceder a las carpetas.

¿Cómo permitir que 'dam' acceda a 'da' y viceversa?

Configurando ACLs explícitas con permisos de lectura, escritura y/o ejecución entre los grupos.

¿Se podrían configurar permisos más granulares entre usuarios?

Sí, se podrían definir ACLs diferentes por cada usuario, no solo por grupos.

¿Hay alguna forma de automatizar la configuración de permisos?

Sí, se podría crear un script que ejecute todos los comandos necesarios para configurar usuarios, grupos, permisos y ACLs.

Outlines

00:00

🗂️ Creación de la estructura de directorios dam y da con permisos diferenciados

Se crean los directorios dam y da dentro de birt. Se asignan permisos 775 a ambos directorios para que dam pueda leer, escribir y ejecutar en dam, y da pueda leer, escribir y ejecutar en da, mientras que otros usuarios solo pueden leer y ejecutar.

05:02

🔐 Modificación de permisos para restringir acceso

Se crea el grupo asir y el usuario Xavier. Se utilizan ACLs para impedir que asir acceda a los directorios dam y da. También se restringe el acceso de otros usuarios que no sean dam y da.

10:05

🧪 Pruebas de funcionamiento de permisos

Se hacen pruebas con diferentes usuarios para validar que los permisos y ACLs funcionan según lo esperado. Por ejemplo, gorka de da puede escribir en da pero no en dam, mientras que Xavier de asir no puede acceder a ninguno de los dos directorios.

15:06

✅ Resumen final y sugerencias

Se concluye que las pruebas funcionan según lo esperado. Se sugiere seguir probando distintas configuraciones de permisos y ACLs y preguntar cualquier duda en el foro.

Keywords

💡permisos

Los permisos definen qué usuarios o grupos pueden leer, escribir o ejecutar archivos/directorios. En el video se configuran permisos en Linux para controlar el acceso de diferentes grupos de usuarios a ciertas carpetas.

💡listas de control de acceso

También llamadas ACLs, son una función adicional en Linux para controlar permisos de acceso más allá de los permisos básicos del sistema. Permiten especificar permisos detallados para usuarios o grupos individuales.

💡chgrp

El comando chgrp cambia el grupo propietario de un archivo/directorio. En el video se utiliza para asignar la propiedad de ciertos directorios a grupos específicos de usuarios.

💡chmod

El comando chmod modifica los permisos básicos (lectura/escritura/ejecución) de archivos y directorios del sistema Linux.

💡setfacl

El comando setfacl establece reglas ACL para controlar permisos de acceso a un archivo/directorio. Permite definir permisos detallados para usuarios/grupos específicos.

💡getfacl

Muestra las reglas ACL establecidas sobre un archivo o directorio mediante setfacl. Sirve para revisar la configuración de permisos.

💡grupos

Los grupos permiten asignar permisos y propiedad sobre archivos/directorios a conjuntos de usuarios en lugar de a usuarios individuales.

💡propietario

El usuario propietario de un archivo/directorio tiene permisos totales sobre el recurso. El video muestra cómo asignar propietarios de grupos a directorios.

💡lectura

Uno de los 3 permisos básicos. Permite a un usuario/grupo ver el contenido de archivos y listar los contenidos de un directorio.

💡escritura

Otro permiso básico. Permite a un usuario/grupo modificar archivos o crear/eliminar archivos dentro de un directorio al que tienen acceso.

Highlights

Vamos a ver cómo funcionan los permisos y las listas de control de acceso en Ubuntu

Vamos a tener dos carpetas dam y da. dam va a tener permiso de lectura, escritura y ejecución. da tan solo va a tener lectura y ejecución

La profesora Ichal en el grupo dam. Yo, Gorka, en el grupo da

Cambiamos el grupo propietario a dam y da respectivamente

Con chmod cambiamos permisos a 775 para que de solo pueda leer y ejecutar, no escribir

Comprobamos que los permisos funcionan: gorka puede escribir en da pero no en dam, e ichal al reves

Creamos el grupo asil y el usuario Xavier para darle acceso restringido

Usamos setfacl para quitar todos permisos al grupo asil en dam y da

Comprobamos que Xavier no puede acceder a dam ni da ahora

Ponemos permisos 000 al resto de usuarios y luego dam y da solo lectura entre ellos con setfacl

Volvemos a comprobar con Xavier, Gorka e Ichal que los permisos están bien configurados

Los permisos del sistema operativo tienen limitaciones, las ACL nos dan más control

Podemos configurar permisos para que unos grupos accedan a unas carpetas si y otros grupos no

Hay que probar distintas combinaciones de permisos para entender bien cómo funciona

Se puede preguntar en el foro si hay alguna duda sobre permisos y ACLs en Ubuntu

Transcripts

en este vídeo vamos a ver cómo funcionan

los permisos y las listas de control de

acceso en ubun entonces para ello vamos

a tener este ejemplo primero vamos a

hacer solo los permisos y vamos a

suponer que dentro de la carpeta birl

vamos a tener dos carpetas vale que van

a ser dam y da y entonces a la carpeta

de dam va a tener permiso el grupo de

dam tanto de lectura escritura como

ejecución pero el grupo de da tan solo

va a tener lectura y ejecución no va a

poder escribir vale he añadido aquí que

en el grupo de dan va a estar la

profesora ichar y en el grupo de da pues

yo work vale Y luego ya veremos cóm

estos permisos se nos van a quedar

cortos y Entonces tendremos que utilizar

las

acls entonces entonces Bueno vamos a

empezar lo primero vamos a abrir un

terminal y aquí nos aparece que estamos

que en el usuario virt V Entonces vamos

a

hacer vale nos vamos a loguear como Root

para ir metiendo estos comandos que

tengo aquí en la parte derecha

simplemente Esto no es un Script ni es

nada eh simplemente lo tengo aquí

apuntado pues para ir recordándolos ya

veremos en otros vdeos como hacer un

Script Entonces ahora lo primero que

vamos a hacer es vamos a dirigirnos a

Home y vamos a crear la estructura vale

aquí tenemos una carpeta se llama birt

que es del usuario ese pero nosotros

vamos a crear una que sea birt lh y

dentro de

birth vamos a

crear Tanto

dam he escrito mal es

MK

Ahora sí y mcad down Vale entonces ahora

si hacemos ls tenemos ahí y vamos a ver

qué permisos tiene cada una de las

carpetas entonces aquí ya nos está

apareciendo tien los mismos porque no

hemos especificado nada y lo primero

tenemos que fijarnos es el propietario

va a ser Root esto no lo vamos a tocar

porque es el usuario con el que hemos

creado la carpeta Y aunque se puede

modificar no nos interesa en este caso y

después nos dice que el grupo va a ser

Root también entonces cómo debemos estos

permisos pues nos dice que el

propietario tiene permiso para todo es

decir puede leer escribir y ejecutar y

después el grupo que en este caso como

Root pues no tiene mucho sentido Pero ya

vamos a ver más adelante cómo sí tendría

lectura y escritura y luego estas que

vienen aquí sería el resto de usuarios

que también tendrían lectura y escritura

Entonces ahora vamos a dirigirnos y

vamos a empezar con esto vamos a crear

los grupos que nos interesan Vale

entonces pues como veis ahí add Group y

vamos a crear un grupo para

Adam y un grupo para

Adam una vez que tenemos ya los grupos

hechos vamos a crear los usuarios ad

user pues vamos a empezar por por

ejemplo y ya sé que en otro vídeo hemos

visto cómo se utiliza user ad Pero bueno

para que veáis el ad user nos pide ya la

contraseña

y el nombre entonces aquí sí que podemos

ponerle con mayúscula nos pide algún

dato más no vamos a rellenarlo y le

vamos a decir que sí que es correcto y

de la misma manera vamos a crear

borka bien Ahora que ya tenemos los

usuarios y los grupos lo que vamos a

hacer es meter dentro de los grupos los

usuarios entonces utilizamos El Comando

user mod menos a para decir que añadimos

y menos G para decirle que es grupo

entonces en da vamos a meter a

gorka y en dam vamos a meter

aer

listo ahora lo que vamos a hacer es

cambiar el grupo propietario es decir

aquí cuando hemos venido y hemos visto

Vale Nos aparece que este es rot y a mí

me interesa que aquí sea d y en este sea

Now Vale entonces lo que vamos a hacer

es eh con change Group ch grp y le

decimos que va a ser D en cuál Pues en

el en el directorio home birt y

d vamos a hacer lo mismo con da y

revisamos que esté

bien vale ahora ya nos ha cambiado vale

pero todavía no tiene mucha

funcionalidad Por qué Porque estamos

diciendo que damy da puedan leer y no

puedan escribir pero el resto de

usuarios tiene lo mismo entonces no nos

está sirviendo vale cómo vamos a

modificar esto con con ch mod vale

cambiándole los permisos que es este 775

que vemos aquí Cómo podemos calcular eso

Pues mira existe un recurso como es esta

calculadora vale que es muy sencillita

Entonces le decimos el propietario qué

queremos que tenga pues le vamos a decir

que pueda hacer todo vale el grupo en

este caso para la carpeta de dam Pues el

grupo de dam qué va a tener Pues todo

también entonces ya nos va modificando

veis aquí abajo nos convierte este siete

quiere decir que puede leer escribir y

ejecutar este siete lo mismo y el último

el resto que va a poder hacer pues tan

sol va a poder leer y ejecutar Entonces

nos dice podríamos meter bien sea esto o

más sencillo el

775 entonces volvemos aquí y hacemos ch

mod

775 dónde Pues lo mismo home

bir tanto en dam como da lo mismo

entonces lo metemos y ponemos en dam

Exactamente lo mismo hacemos un ls vemos

y ahora ya tiene más sentido vale porque

d poder escribir en estas carpetas pero

si hacemos al revés da en dam no va a

poder hacerlo y dam es del grupo del dam

en da tampoco vale vamos a hacer una

prueba para ver qué funciona voy a poner

el gráfico que teníamos vale para ver lo

que estamos haciendo es decir

ichar en la carpeta de dam va a poder

escribir y gorka va a poder ver lo que

ha escrito ichal pero no va a

poder escribir y al revés es lo mismo

Vale entonces Bueno pues vamos aquí a

Iniciar sesión le decimos su gorka por

ejemplo bien y ahora ya veis que aquí me

ha cambiado en vez de bir ya estoy con

gorka Vale entonces estamos en la

carpeta de no vamos a CD home le decimos

bir y vamos a ver aquí tenemos dam y da

y gorka recordemos que pertenecía a da

Entonces si vamos a da debería de poder

escribir vamos a crear una carpeta que

se llame prueba

gorca y funciona correctamente ahí la

tenemos vale Pero si ahora voy para

atrás y me meto en el grupo de

dan no me debería de

dejar efectivamente funciona

correctamente de la misma manera si

hacemos con ichar pero al revés vale eso

no vamos a probarlo si que seguís el

ejercicio y podéis probarlo vosotros en

casa vale entonces ahora vamos a suponer

como viene aquí que aparece un nuevo

grupo que sería los alumnos o profesores

de asil Vale entonces nos dicen en dam

va a poder leer escribir y ejecutar el

grupo de dam el grupo de D va a seguir

leyendo

y y ejecutando pero el grupo de asir no

ni siquiera ver el contenido Vale

entonces nos dirigimos aquí y qué vamos

a hacer pues vamos a crear el grupo de

asir para ello Pues igual que hemos

hecho antes

Group

asir creamos también un usuario en este

caso vamos a crear a

Xavier vale Y entonces ahora que tenemos

Pues lo mismo vamos a añadirle user mod

Añadir en el grupo asir a

saber ya Lo tendríamos dentro por cierto

antes no lo he hecho pero podemos ir y

revisar que esto esté bien vale vamos a

etc Cat

Group y aquí nos aparece Y entonces nos

está diciendo en el grupo dam pertenece

ichar quién pertenece a d gorka y ahora

tenemos que

también pertenece saber Vale entonces

Bueno pues siguiendo con lo que

estábamos haciendo vamos a ir

home y aquí tenemos entonces ponemos

otra vez el dibujo y analizamos qu es lo

que está pasando dentro de la carpeta de

dam efectivamente d va a poder escribir

porque es el grupo

vale Pues los usuarios de da como es son

el resto si que van a poder leer no van

a poder escribir y van a poder ejecutar

pero ahora queremos que asir no pueda ni

siquiera ver entonces ya aquí no tenemos

manera de jugar con eso vale vamos a

utilizar las listas de control de acceso

entonces para ello es bastante

sencillito como vamos a ver vamos a

decirle setfacl

y le decimos men m g del grupo le por

ejemplo

da no da no le vamos a decir asir está

mal en La Chuleta esta

aquí esto sería asir para quitarle los

permisos Ahí está y luego le decimos los

tres permisos vale lo que mismo que

hemos puesto antes 775 pero como no

queremos que tenga ninguno pues ponemos

las tres rayas y ahora le decimos el

directorio que

queremos

y da igual que sea dam o da porque

ninguno de ellos va a poder tener

Entonces lo voy a hacer en los dos y así

me aseguro Entonces ahora si hacemos ls

men la aquí no vamos a ver nada pero sí

que nos aparece este Plus vale que nos

está diciendo que hay algo más Entonces

cómo vamos a poder revisarlo Pues con el

get

faac si vamos al

directorio

nos dice lo siguiente nos dice los

usuarios pueden leer escribir y tal el

usuario propietario vale el grupo puede

hacer lo mismo pero el grupo asir no

puede hacer nada y todo el resto va a

poder leer Vale y ejecutar Entonces

ahora vamos a hacer la prueba y vamos a

abrir una pestaña nueva con su

Xavier vamos para atrás

abrimos hacemos ls vemos que están d y

da y en principio Xavier no debería

poder acceder a nada y así nos lo dice

Vale entonces

bueno quizá tendría más sentido en vez

de hacerlo de esta manera porque aquí

tan solo se nos dice que asir no va a

tener permisos

eh si existiese ahora un nuevo grupo

imagínense que salen no sé unos

certificados o otro asir do cualquier a

otro Grupo nuevo que se supone que no

podría hacer nada o que tendría solo

lectura y escritura pues seguramente no

tendría ningún acceso Entonces lo más

seguro que sería pues venir aquí y en

vez de decir que en las carpetas de dam

y de daw el resto de usuarios tenga eh

lectura y ejecución Lo más seguro sería

decirle que vamos a ir al ch mod que lo

tendremos por aquí todavía

decirle que el resto de usuarios tenga

cero lo mismo en la de

dam Vale ahora ya el resto de usuarios

no puede hacer nada pero nos faltaría

añadirle que en la carpeta de dam los de

da puedan leer y viceversa Entonces eso

lo haríamos con la AC y sería decirle en

setac el grupo aquí le vamos a decir en

vez de asir

dam va a poder qué va a poder hacer

eh leer escribir no y ejecutar sí y en

qué carpeta Pues si estamos diciendo dam

en la de

da y Exactamente lo mismo pero al revés

el grupo de

da en la carpeta

de

D Entonces ahora hacemos es menos la

vemos que el resto no va a poder nada

Entonces ahora asir si venimos aquí

tampoco va a poder entrar si está

funcionando bien

bueno tendríamos que escribirlo bien

aquí y sigue sin poder entrar en ninguna

de las dos carpetas que tenemos y vamos

a comprobar ahora con gorka vale vamos

para

atrás vemos que tenemos dos y vamos a

probar gorca es de da entonces en

principio en da debería de tener

permisos tal y como hemos hecho

antes prueba gorka

2 nos ha dejado y si vamos

a

dam vemos Que no hay nada y que no nos

deja crear ninguna carpeta vale solo nos

faltaría comprobar con ich Per bueno ya

os digo que en principio va a funcionar

porque todas las pruebas han sido

satisfactorias entonces Bueno vamos a

probarlo vemos así y podría ver lo que

tenemos

en vale eso puede pero no puede crear

una carpeta Y si vamos a

d hacemos y

ahs Supongo que hagáis todo estas

pruebas que he ido haciendo yo y luego

pues que también configuré por ejemplo

asir para que pueda escribir los del

grupo asir y no puedan los de damid o

que juguéis un poquito no y que si

puedan unos y no otros pero que probéis

tanto una cosa Vale tanto los permisos

que nos proporciona el sistema operativo

de base como las permisos que nos

proporcionan las listas de control de

acceso y si tenéis cualquier duda Pues

como siempre al Foro o al correra nos

podéis

preguntar