Le propriétaire peut lire et écrire. Le groupe peut lire. Les autres ne peuvent rien faire.
| Lecture | Écriture | Exécution | |
|---|---|---|---|
| Propriétaire | ✓ | ✓ | – |
| Groupe | ✓ | – | – |
| Autres | – | – | – |
Usage typique
Fichiers de configuration que le groupe d’un service peut lire.
Bon à savoir
640 (rw-r-----) permet au propriétaire de modifier, au groupe de lire, et rien aux autres. C’est le mode habituel des fichiers de configuration contenant des secrets lus par un service : ils appartiennent à root, avec le groupe du service, afin que le démon puisse lire son mot de passe sans pouvoir modifier le fichier. Sur Debian et Ubuntu, /etc/shadow est en 640 root:shadow précisément pour cette raison.
C’est le groupe qui fait fonctionner le tout : définissez-le avec chown root:appgroup file et ajoutez l’utilisateur du service à ce groupe. Si un service signale « permission denied » sur sa configuration, vérifiez le groupe et les bits x de chaque dossier parent avec namei -l /path/to/file. N’utilisez pas 640 pour les clés privées SSH : OpenSSH rejette toute clé lisible par le groupe.
Commandes
| Définir le mode | chmod 640 file |
|---|---|
| La même chose en lettres | chmod u=rw,g=r,o= file |
| Un dossier et tout son contenu | chmod -R 640 folder |
| Seulement les dossiers qu’il contient | find folder -type d -exec chmod 640 {} + |
| Affichage dans ls -l | -rw-r----- |