她的梦是蓝天
业务部门提过来一个FTP配置需求，具体情况如下：
请提供一台FTP服务器，需要创建的FTP目录及账号规则如下！
人员配置情况：
北京总部：5人（需创建2个账号：bjzb读权限 bjguanli读写执行权限）
北京大区：8人（需创建1个FTP账号：bjdq）
上海大区：6人（需创建1个FTP账号：shdq）
广州大区：5人（需创建1个FTP账号：gzdq）
FTP目录及账号权限创建设计：
/data/bj （北京大区）
账号bjdq权限：写权限、读权限、执行权限
账号shdq、gzdq权限：读权限
账号bjzb权限：读权限
账号bjguanli权限：读权限、写权限、执行权限
/data/sh （上海大区）
账号shdq权限：写权限、读权限、执行权限
账号bjdq、gzdq权限：读权限
账号bjzb权限：写权限、读权限
账号bjguanli权限：读权限、写权限、执行权限
/data/gz （广州大区）
账号gzdq权限：写权限、读权限、执行权限
账号bjdq、shdq权限：读权限
账号bjzb权限：写权限、读权限
账号bjguanli权限：读权限、写权限、执行权限
大家看到这则需求时，基本上会感觉，权限实现起来有点困难。因为在linux下，对一个文件可以进行操作的对象被分为三类：file owner(文件的拥有者）、group（组，注意不一定是文件拥有者所在的组）、other(其他）。在每个类里，权限都是一致的，而在一个相同的类里实现不同的权限就不那么方便了，而上述提到的需求就是要在同一个类里实现不同的权限。那么我们就需要通过LINUX下的ACL来实现题中的需求。简单地说acl就是可以设置特定用户或用户组对于一个文件及目录的操作权限，需要掌握的命令也只有三个：getfacl,setfacl,chacl.
我们来具体说一下文章开头提到的那个需求的实现过程
1、目录和账号的创建
默认情况下，在linux下建立用户的时候，有个默认的家目录，一般是在/home下，但是如果我们想在系统中建立多个用户，而家目录都不在/home 下的话，就需要用useradd -d 来指定家目录
#groupadd ftpgroup
# useradd bjdq -d /data/bj -g ftpgroup
#passwd bjdq
# useradd shdq -d /data/sh -g ftpgroup
#passwd shdq
# useradd gzdq -d /data/gz -g ftpgroup
#passwd gzdq
#useradd bjzb
#passwd bjzb
#useradd bjguanli
#passwd bjguanli
补充还有一个方法是修改/etc/default/useradd文件
# useradd defaults file
GROUP=100
HOME=/home （将默认的HOME改为你设定的目录）
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
2、FTP的设置
FTP服务器地址：192.168.1.130
修改FTP配置文件
# vi /etc/vsftpd/vsftpd.conf
在里面添加如下语句
local_enable=YES //是否允许本地用户登录FTP服务器,默认是允许
write_enable=YES //是否允许用户具有在FTP服务器文件中执行写的权限,默认是允许
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
local_umask=007 #用户的权限
chroot_list_enable=YES //如果希望用户登录后不能切换到自己目录以外的其它目录,需要设置该项来锁定用户目录
chroot_list_file=/etc/vsftpd/chroot_list
userlist_enable=YES #设置userlist_enable=YES,那么只允许/etc/vsftpd/user_list中列出的用户具有该功能
userlist_deny=NO
userlist_file=/etc/vsftpd/user_list
~
"/etc/vsftpd/vsftpd.conf" 147L, 5079C written
设置完重启ftp服务
# service vsftpd restart
关闭 vsftpd：[确定]
为 vsftpd 启动 vsftpd：[确定]
三、权限的设置
由于/data/bj的所有者是bjdq，/data/sh的所有者是shdq,/data/gz的所有者是gzdq,这样自然就有了读、写、执行权限，我们只需设置组和其他的权限即可
为了限定bjdq、shdq、gzdq的用户不能切换目录，我们还需要把bjdq、shdq、gzdq这三个用户写入chroot_list文件。
[root@localhost vsftpd]# echo "bjdq" >>chroot_list
[root@localhost vsftpd]# echo "shdq" >>chroot_list
[root@localhost vsftpd]# echo "gzdq" >>chroot_list
权限设置如下：
#chmod 755 /data/bj
#chmod 755 /data/sh
#chmod 755 /data/gz
针对bjzb和bjguanli这两个账户的权限设置如下
#setfacl -R -m u:bjzb:rx /data/bj
#setfacl -R -m u:bjguanli:rwx /data/bj
#setfacl -R -m u:bjzb:rx /data/sh
#setfacl -R -m u:bjguanli:rwx /data/sh
#setfacl -R -m u:bjzb:rx /data/gz
#setfacl -R -m u:bjguanli:rwx /data/gz
[root@localhost data]# ls -l
total 12
drwxr-xr-x+ 4 bjdq ftpgroup 4096 Jan 18 19:09 bj
drwxr-xr-x+ 4 shdq ftpgroup 4096 Jan 18 19:12 sh
drwxr-xr-x+ 4 gzdq ftpgroup 4096 Jan 18 19:22 gz
最后大家可以通过getfacl来查看这三个目录的权限并通过客户端登陆来验证。
（注：setfacl –x g:ftpgroup file 删除ftpgroup组对file文件的所有权限
setfacl -x u:bjguanli /data/bj 删除bjguanli用户对/data/bj目录的权限保留读权限
setfacl –x u:bjzb file 删除bjzb用户对file文件的所有权限）
#getfacl --omit-header /data/bj
getfacl: Removing leading '/' from absolute path names
# file: data/bj
# owner: bjdq
# group: ftpgroup
user::rwx
user:bjguanli:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:bjguanli:rwx
default:group::r-x
default:mask::rwx
default:other::r-x
其他目录权限设置类似
四、客户端测试
[root@localhost /]# ftp 192.168.1.130
Connected to localhost.localdomain.
220 (vsFTPd 2.0.5)
Name (localhost:root): bjdq
331 Please specify the password.
Password:
500 OOPS: cannot change directory:/data/bj
Login failed.
ftp> quit
注意这个报错，你需要考虑IPTABLES和SELINUX的限制了。
可以直接关闭IPTABLES和SELINUX，如果是不能关则需要做如下调整
在IPTABLE里开放FTP服务，允许21、20端口通行。
针对SELINUX的安全限制，可以使用这句
[root@localhost test]# setsebool ftpd_disable_trans 1 #关闭SELinux对ftp的保护
[root@localhost test]# service vsftpd restart
最后再试，一切正常。
[root@localhost test]#ftp 192.168.1.130
Connected to localhost.localdomain.
220 (vsFTPd 2.0.5)
Name (localhost:root): bjdq
331 Please specify the password.
Password:
Login successful.
ftp> pwd
"/"
ftp>bye
经验证，最后权限设置，符合业务部门的需求。
