Der Besitzer darf lesen und schreiben. Die Gruppe darf lesen. Alle anderen dürfen nichts.
| Lesen | Schreiben | Ausführen | |
|---|---|---|---|
| Besitzer | ✓ | ✓ | – |
| Gruppe | ✓ | – | – |
| Andere | – | – | – |
Typische Verwendung
Konfigurationsdateien, die die Gruppe eines Dienstes lesen darf.
Gut zu wissen
640 (rw-r-----) lässt den Besitzer bearbeiten, die Gruppe lesen und andere gar nichts. Das ist der übliche Modus für Konfigurationsdateien mit Geheimnissen, die ein Dienst liest: Besitzer ist root, die Gruppe ist die des Dienstes, sodass der Daemon sein Passwort lesen, die Datei aber nicht ändern kann. /etc/shadow ist auf Debian und Ubuntu genau aus diesem Grund 640 root:shadow.
Die Gruppe macht es möglich: Setze sie mit chown root:appgroup file und füge den Dienstbenutzer dieser Gruppe hinzu. Meldet ein Dienst „permission denied“ für seine Konfiguration, prüfe die Gruppe und die x-Bits auf jedem übergeordneten Ordner mit namei -l /path/to/file. Nimm 640 nicht für private SSH-Schlüssel: OpenSSH lehnt jeden Schlüssel ab, den die Gruppe lesen kann.
Befehle
| Modus setzen | chmod 640 file |
|---|---|
| Dasselbe mit Buchstaben | chmod u=rw,g=r,o= file |
| Ein Ordner samt Inhalt | chmod -R 640 folder |
| Nur die Ordner darin | find folder -type d -exec chmod 640 {} + |
| So zeigt es ls -l an | -rw-r----- |