Jede Datei besitzt einen Eigentümer und eine zugeordnete Gruppe. Gruppen ermöglichen es, Zugriffsrechte mehreren Benutzern zuzuweisen, ohne jedem Benutzer einzeln Rechte an jeder Datei einzuräumen.

Die Befehle id und groups zeigen die aktuelle Identität und die Gruppenmitgliedschaften eines Benutzers. Gruppeninformationen können mit getent group abgefragt werden; die Daten müssen nicht ausschliesslich aus einer lokal bearbeiteten Datei stammen, da auch zentrale Benutzerverzeichnisse verwendet werden können.

id
getent group sudo
getent group www-data
sudo usermod -aG GRUPPE BENUTZER

Der letzte Befehl fügt einen Benutzer zu einer zusätzlichen Gruppe hinzu; das Argument -a ist zusammen mit -G wichtig, damit bereits bestehende zusätzliche Gruppenmitgliedschaften nicht ersetzt werden. Die neue Mitgliedschaft gilt normalerweise nach einer neuen Anmeldung. Prüfen Sie vorher, ob die Gruppenmitgliedschaft wirklich benötigt wird.

	Keine Beispieldateien übernehmen
	Die Einträge unter /etc/group, Gruppennamen und numerischen IDs unterscheiden sich nach Installation und aktivierten Paketen. Historische Beispiele mit Gruppen wie floppy oder telnetd sind keine Vorlage für ein aktuelles Debian-System. Bearbeiten Sie Kontendateien nicht direkt, wenn die vorgesehenen Werkzeuge den Vorgang erledigen können.

Neben dem Besitzer und der Gruppe, zu denen eine Datei gehört, verfügt jede Datei auch über Zugriffsrechte, über die festgelegt wird, wer diese Datei lesen, schreiben oder ausführen darf. Es gibt noch weitere Details, die wir aber übergehen wollen.

Wie Sie schon vorher gesehen haben, werden die Zugriffsrechte bei dem Kommando ls -l ganz links an den ersten zehn Stellen angezeigt. Die erste Stelle hat nicht direkt etwas mit den Zugriffsrechten zu tun, sie zeigt vielmehr den Dateityp an. Ein „ - “ steht für eine normale Datei, ein d kennzeichnet ein Verzeichnis, und ein l steht für einen Link.

Die weiteren neun Stellen lassen sich in drei Gruppen teilen. Dies sind von links nach rechts: der Besitzer der Datei (owner), die Gruppe (group) und schließlich die Allgemeinheit (world). Jeder dieser drei Gruppen gehören drei dieser neun Stellen. Jede dieser drei Stellen steht für r lesen (Read), w schreiben (Write) und x ausführen (eXecute).

Im Detail bedeuten die drei Buchstaben r, w und x Folgendes:

r - lesen: Bei Dateien kann der Inhalt der Datei gelesen werden. Bei Verzeichnissen kann man den Inhalt des Verzeichnisses auflisten lassen.

w - schreiben: Bei Dateien kann diese Datei verändert und gespeichert werden. Bei Verzeichnissen können neue Dateien angelegt und bereits bestehende Dateien gelöscht werden.

x - ausführen: Dateien können als Kommando ausgeführt werden. Dies macht nur Sinn, wenn diese Datei wirklich ein Kommando darstellt. Sie können eine Grafik ausführbar machen, es ergibt aber keinen Sinn. Da Verzeichnisse nicht ausgeführt werden können, bedeutet hier ein gesetztes x, dass Sie in dieses Verzeichnis wechseln können. Um also in einem Verzeichnis mit Dateien arbeiten zu können, benötigen Sie die Kombination x und r sowie gegebenenfalls auch w.

Für Verzeichnisse ist dies alles ein wenig verwirrend, daher hier einige Beispiele:

r-- Eigentümer, Gruppe oder andere können den Inhalt dieses Verzeichnisses auflisten. Die Dateien selbst können in dem Verzeichnis gelesen, gelöscht oder verändert werden, abhängig von den eigenen Zugriffsrechten.

r-x Dieser Modus erlaubt das Auflisten der Dateien in dem Verzeichnis und gibt den Zugriff auf die Dateien frei. Sie können allerdings keine neuen Dateien anlegen oder bestehende Dateien löschen. Das Ansehen und Verändern von Dateien ist erlaubt; Programme können ausgeführt werden, wenn dies von den Rechten der Dateien selbst her erlaubt ist.

--x Sie können auf die Dateien in dem Verzeichnis zugreifen, diese aber nicht auflisten. Sie müssen also wissen, welche Dateien sich in dem Verzeichnis befinden, um auf diese zugreifen zu können. Wenn es sich um ein Verzeichnis handelt, so kann in dieses gewechselt werden.

rwx Sie können alles mit den Dateien anstellen, solange die Rechte der Dateien selbst dies zulassen.

Daraus folgen einige interessante Tatsachen, die Sie beachten sollten:

Schreibrechte auf einem Verzeichnis entscheiden darüber, ob Sie eine Datei in einem Verzeichnis löschen dürfen. Eine Datei, deren Rechte auf Nur-lesen gesetzt sind, kann gelöscht werden, wenn Sie die nötigen Rechte haben, um in diesem Verzeichnis zu schreiben! Weiterhin können Sie eine Datei in einem Nur-lesen-Verzeichnis nicht löschen, auch wenn Sie die nötigen Zugriffsrechte auf die Datei selbst haben.

Dies bedeutet auch, dass Sie, wenn Sie der Besitzer eines Verzeichnisses sind, auch die Dateien darin löschen können, sogar wenn diese dem Administrator (root) gehören.

Zugriffsrechte auf ein Verzeichnis haben also auch direkten Einfluss auf die Dateien in diesem Verzeichnis. An dieser Stelle kommen die Zugriffsrechte auf Dateien ins Spiel. Wenn Sie keinen Zugriff auf das Verzeichnis haben, spielen auch die Rechte an den Dateien für Sie keine Rolle, Sie kommen ja ohnehin nicht an die Dateien...

bash-2.03$ touch testdatei
bash-2.03$ ls -l testdatei
-rw-r--r--    1 fr       fr              0 Jan 19 18:15 testdatei

bash-2.03$ chmod u+x testdatei
bash-2.03$ ls -l testdatei
-rwxr--r--    1 fr       fr              0 Jan 19 18:15 testdatei

bash-2.03$ chmod go-r testdatei
bash-2.03$ ls -l testdatei
-rwx------    1 fr       fr              0 Jan 19 18:15 testdatei

bash-2.03$ chmod ugo=rx testdatei
bash-2.03$ ls -l testdatei
-r-xr-xr-x    1 fr       fr              0 Jan 19 18:15 testdatei

bash-2.03$ rm testdatei
rm: schreibgeschützte Datei "testdatei" entfernen?