[09:52:11 vagrant@centos7:~] $ ls -la /                                                                                        
    total 48
    dr-xr-xr-x.  18 root root 4096 Jan  5  2016 .
    dr-xr-xr-x.  18 root root 4096 Jan  5  2016 ..
    -rw-r--r--    1 root root    0 Feb 24  2015 .autorelabel
    lrwxrwxrwx    1 root root    7 Jan  4  2016 bin -> usr/bin
    dr-xr-xr-x.   5 root root 4096 Nov 16 07:37 boot
    drwxr-xr-x   21 root root 3220 Nov 16 21:22 dev
    drwxr-xr-x. 151 root root 8192 Nov 16 21:22 etc
    drwxr-xr-x.   3 root root   20 Aug 12  2015 home
    lrwxrwxrwx    1 root root    7 Jan  4  2016 lib -> usr/lib
    lrwxrwxrwx    1 root root    9 Jan  4  2016 lib64 -> usr/lib64
    drwxr-xr-x.   3 root root   37 Jan  4  2016 media
    drwxr-xr-x.   2 root root    6 Aug 12  2015 mnt
    drwxr-xr-x.   6 root root  111 Sep 25 15:20 opt
    dr-xr-xr-x  157 root root    0 Nov 16 21:21 proc
    dr-xr-x---.   6 root root 4096 Nov 16 08:53 root
    drwxr-xr-x   39 root root 1180 Nov 17 01:51 run
    lrwxrwxrwx    1 root root    8 Jan  4  2016 sbin -> usr/sbin
    drwxr-xr-x.   2 root root    6 Aug 12  2015 srv
    dr-xr-xr-x   13 root root    0 Nov 17 07:27 sys
    drwxrwxrwt.  60 root root 8192 Nov 17 06:49 tmp
    drwxr-xr-x.  13 root root 4096 Jan  4  2016 usr
    drwxr-xr-x    2 root root    6 Jan  4  2016 vagrant
    drwxr-xr-x.  23 root root 4096 Nov 16 21:21 var

    [09:52:24 vagrant@centos7:~]ls -la /dev                                                                                               
    сrw-rw-rw-   1 root     root        1,     3 Nov 23 08:04 null
    ...
    brw-rw----   1 root     disk        7,     1 Nov 23 08:04 loop1
    ...
    [09:52:24 vagrant@centos7:~] info ls What\ information                                                                                               



    

[ramanzes@fedora ~]$ cat /etc/fstab                                                           
    # change the "UUID" to your partition UUID
    #
    # /etc/fstab
    # Created by anaconda on Tue Jul 13 22:36:34 2021

    UUID=XXXXXX-XXXX-XXXX-XXXX-XXXXXXXX1        /                btrfs   subvol=root00,compress=zstd:1 0 0
    UUID=XXXXXX-XXXX-XXXX-XXXX-XXXXXXXX2        /boot            ext4    defaults        1 2
    UUID=XXXXXX-XXX3                            /boot/efi        vfat    umask=0077,shortname=winnt 0 2
    UUID=XXXXXX-XXXX-XXXX-XXXX-XXXXXXXX4        none             swap    defaults        0 0
    UUID=XXXXXXXXXXXXXX5                        /mnt/c           ntfs    defaults,auto,users,permissions         0 2
    UUID=XXXXXXXXXXXXXX6                        /mnt/d           ntfs 	 defaults        0 2

[usver@fedora ~]$ umask
0002
[ramanzes@fedora ~]$ umask -S
u=rwx,g=rwx,o=rx

[usver@fedora ~]$ sudo su
    [sudo] password for usver:
[root@fedora usver]# umask
0022
[root@fedora ramanzes]# umask -S
u=rwx,g=rx,o=rx

    

[08:09:38 vagrant@centos7:~] $ mkdir forumask
[08:09:54 vagrant@centos7:~] $ cd forumask
[08:36:00 vagrant@centos7:~/forumask] $ umask
    0002
[08:10:57 vagrant@centos7:~/forumask] $ touch file01
[08:11:11 vagrant@centos7:~/forumask] $ mkdir dir01

[08:12:15 vagrant@centos7:~/forumask] $ umask 777
[08:12:15 vagrant@centos7:~/forumask] $ umask a=
[08:12:15 vagrant@centos7:~/forumask] umask u=,g=,o=


[08:12:28 vagrant@centos7:~/forumask] $ mkdir dir02
[08:12:40 vagrant@centos7:~/forumask] $ touch file02
[08:37:06 vagrant@centos7:~/forumask] $ umask
    0777
[08:12:47 vagrant@centos7:~/forumask] $ ls -la
    total 4
    drwxrwxr-x   4 vagrant vagrant   56 Dec 15 08:12 .
    drwx------. 22 vagrant vagrant 4096 Dec 15 08:09 ..
    drwxrwxr-x   2 vagrant vagrant    6 Dec 15 08:12 dir01
    d---------   2 vagrant vagrant    6 Dec 15 08:12 dir02
    -rw-rw-r--   1 vagrant vagrant    0 Dec 15 08:12 file01
    ---------  1 vagrant vagrant    0 Dec 15 08:12 file02


[09:33:16 vagrant@centos7:~/forumask] $ umask 022
[09:33:26 vagrant@centos7:~/forumask] $ umask
   0022
[09:33:33 vagrant@centos7:~/forumask] $ umask -S
   u=rwx,g=rx,o=rx

[09:33:35 vagrant@centos7:~/forumask] $ umask u=rwx,g=rx,o=rx
[09:34:06 vagrant@centos7:~/forumask] $ umask
   0022
[09:34:04 vagrant@centos7:~/forumask] $ umask -S
   u=rwx,g=rx,o=rx

[09:46:03 vagrant@centos7:~/forumask] $ mkdir dir03
[09:46:08 vagrant@centos7:~/forumask] $ touch file03
[09:46:20 vagrant@centos7:~/forumask] $ ls -la
    total 4
    drwxrwxr-x   5 vagrant vagrant   81 Dec 15 09:46 .
    drwx------. 22 vagrant vagrant 4096 Dec 15 08:09 ..
    drwxrwxr-x   2 vagrant vagrant    6 Dec 15 08:12 dir01
    d---------   2 vagrant vagrant    6 Dec 15 08:12 dir02
    drwxr-xr-x   2 vagrant vagrant    6 Dec 15 09:46 dir03
    -rw-rw-r--   1 vagrant vagrant    0 Dec 15 08:12 file01
    ----------   1 vagrant vagrant    0 Dec 15 08:12 file02
    -rw-r--r--   1 vagrant vagrant    0 Dec 15 09:46 file03


[09:53:32 vagrant@centos7:~/forumask] $   $ mkdir -m=777 dir04
[09:53:03 vagrant@centos7:~/forumask] $ ls -la
    total 4
    drwxrwxr-x   6 vagrant vagrant   93 Dec 15 09:53 .
    drwx------. 22 vagrant vagrant 4096 Dec 15 08:09 ..
    drwxrwxr-x   2 vagrant vagrant    6 Dec 15 08:12 dir01
    d---------   2 vagrant vagrant    6 Dec 15 08:12 dir02
    drwxr-xr-x   2 vagrant vagrant    6 Dec 15 09:46 dir03
    drwxrwxrwx   2 vagrant vagrant    6 Dec 15 09:53 dir04
    -rw-rw-r--   1 vagrant vagrant    0 Dec 15 08:12 file01
    ----------   1 vagrant vagrant    0 Dec 15 08:12 file02
    -rw-r--r--   1 vagrant vagrant    0 Dec 15 09:46 file03

[09:54:14 vagrant@centos7:~/forumask] $ umask
    0022

#Если с числовой формой создания маски всё ясно, какое число такая и маска, то символьный способ задания маски схож с
#синтаксисом команды chmod, подробнее о которой, мы поговорим в следующем блоке этой статьи, а пока приведём ещё
#несколько примеров:

#Группы прав можно объединять, или же задавать права сразу для всех категорий, использовав параметр a= (all).

[22:26:45 vagrant@centos7:~/forumask] $ umask ug=rwx,o=rx
[22:26:54 vagrant@centos7:~/forumask] $ umask
    0002
[22:26:57 vagrant@centos7:~/forumask] $ umask -S
    u=rwx,g=rwx,o=rx

[22:26:59 vagrant@centos7:~/forumask] $ umask a=rwx
[22:27:04 vagrant@centos7:~/forumask] $ umask
    0000
[22:27:07 vagrant@centos7:~/forumask] $ umask -S
    u=rwx,g=rwx,o=rwx

#Можно работать с отдельными правами.
#Оператором - можно запретить определённое действие, остальные биты в маске останутся нетронутыми.

[22:27:08 vagrant@centos7:~/forumask] $ umask ug-w
[22:27:16 vagrant@centos7:~/forumask] $ umask
    0220
[22:27:17 vagrant@centos7:~/forumask] $ umask -S
    u=rx,g=rx,o=rwx

#Оператором + можно разрешить определённое действие, остальные биты в маске останутся нетронутыми.

[22:27:18 vagrant@centos7:~/forumask] $ umask a+w
[22:27:24 vagrant@centos7:~/forumask] $ umask
    0000
[23:22:46 vagrant@centos7:~/forumask] $ umask -S
    u=rwx,g=rwx,o=rwx

[22:27:25 vagrant@centos7:~/forumask] $ umask u=rwx,go-r
[22:27:33 vagrant@centos7:~/forumask] $ umask
    0044
[22:27:40 vagrant@centos7:~/forumask] $ umask -S
    u=rwx,g=wx,o=wx

    [05:31:26 vagrant@centos7:~] $ mkdir ~/test                                                                                                             

    [05:31:54 vagrant@centos7:~] $ cd ~/test                                                                                                                     

    [05:32:11 vagrant@centos7:~/test] $ touch f1.txt                                                                                                         

    [05:33:31 vagrant@centos7:~/test] $ touch f2.txt                                                                                                         

    [05:37:14 vagrant@centos7:~/test] $ ls -la                                                                                                                     
    total 4
    drwxrwxr-x   2 vagrant vagrant   32 Nov 29 05:37 .
    drwx------. 19 vagrant vagrant 4096 Nov 29 05:31 ..
    -rw-rw-r--   1 vagrant vagrant    0 Nov 29 05:33 f1.txt
    -rw-rw-r--   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    

    [05:46:05 vagrant@centos7:~/test] $ chmod 777 f1.txt                                                                         

    [06:06:42 vagrant@centos7:~/test] $ ls -l                                                                                  
    total 0
    -rwxrwxrwx 1 vagrant vagrant 0 Nov 29 05:33 f1.txt
    -rw-rw-r-- 1 vagrant vagrant 0 Nov 29 05:37 f2.txt

    [07:16:11 vagrant@centos7:~/test] $ chmod a=rwx f2.txt                                                                               

    [07:16:48 vagrant@centos7:~/test] $ ls -l                                                                                                      
    total 4
    -rwxrwxrwx 1 vagrant vagrant 7 Nov 29 06:06 f1.txt
    -rwxrwxrwx 1 vagrant vagrant 0 Nov 29 07:16 f2.txt

    

    смотрите наш пустой файл стал исполняемым, давайте запишем в него команду и выполним его для проверки...

    [07:17:48 vagrant@centos7:~/test] $ echo "ls -la" > f1.txt
    [07:18:00 vagrant@centos7:~/test] $ cat f1.txt
    ls -la
    [07:18:03 vagrant@centos7:~/test] $ ./f1.txt
    total 8
    drwxrwxr-x   2 vagrant vagrant   32 Nov 29 06:08 .
    drwx------. 19 vagrant vagrant 4096 Nov 29 06:08 ..
    -rwxrwxrwx   1 vagrant vagrant    7 Nov 29 06:10 f1.txt
    -rwxrwxrwx   1 vagrant vagrant    0 Nov 29 07:16 f2.txt

    действительно так и обстоят дела на самом деле.... текстовый файл передал интерпретатору bash выполнить
    записанную в него команду.
    

[22:57:43 vagrant@centos7:~/test] $ ls -la                                

total 116
drwxrwxr-x+  5 vagrant vagrant  4096 Dec 16 10:13 .
drwx------. 24 vagrant vagrant  4096 Jan 24 13:10 ..
-rw-r--r--   1 root    root    30720 Dec  9 09:20 --acls
-rw-rw-rw-   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
-rw-rw-rw-   1 vagrant vagrant    91 Dec  3 06:14 Makefile
drw-rw-r--   2 vagrant vagrant    20 Dec 16 10:16 new_
drwxrwsr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
-rw-rw-rw-   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
-rw-r--rw-   1 vagrant vagrant 12288 Dec 11 11:23 .proga.c.swp
-rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
-rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog
-rw-r--r--   1 root    root    30720 Dec  9 09:27 s_t_newcatalog.tar


[22:57:45 vagrant@centos7:~/test] $ chmod -R o+w $(find . -type d)


find: ‘./new_/dfdf.ee’: Permission denied
chmod: changing permissions of ‘./speckatalog’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./proga.o’: Operation not permitted
chmod: changing permissions of ‘./program’: Operation not permitted
chmod: changing permissions of ‘./--acls’: Operation not permitted
chmod: changing permissions of ‘./s_t_newcatalog.tar’: Operation not permitted
chmod: changing permissions of ‘./newcatalog’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: cannot access ‘./new_/dfdf.ee’: Permission denied
chmod: changing permissions of ‘./speckatalog’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./newcatalog’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: cannot access ‘./new_/dfdf.ee’: Permission denied



[23:01:35 vagrant@centos7:~/test] $ ls -la                                

total 116
drwxrwxrwx+  5 vagrant vagrant  4096 Dec 16 10:13 .
drwx------. 24 vagrant vagrant  4096 Jan 24 13:10 ..
-rw-r--r--   1 root    root    30720 Dec  9 09:20 --acls
-rw-rw-rw-   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
-rw-rw-rw-   1 vagrant vagrant    91 Dec  3 06:14 Makefile
drw-rw-rw-   2 vagrant vagrant    20 Dec 16 10:16 new_
drwxrwsr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
-rw-rw-rw-   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
-rw-rw-rw-   1 vagrant vagrant 12288 Dec 11 11:23 .proga.c.swp
-rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
-rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog
-rw-r--r--   1 root    root    30720 Dec  9 09:27 s_t_newcatalog.tar


[23:02:55 vagrant@centos7:~/test] $ chmod -R o-w $(find . -type f)

find: ‘./new_/dfdf.ee’: Permission denied
chmod: changing permissions of ‘./proga.o’: Operation not permitted
chmod: changing permissions of ‘./program’: Operation not permitted
chmod: changing permissions of ‘./--acls’: Operation not permitted
chmod: changing permissions of ‘./s_t_newcatalog.tar’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2_2’: Operation not permitted

[23:04:05 vagrant@centos7:~/test] $ ls -la                                

total 116
drwxrwxrwx+  5 vagrant vagrant  4096 Dec 16 10:13 .
drwx------. 24 vagrant vagrant  4096 Jan 24 13:10 ..
-rw-r--r--   1 root    root    30720 Dec  9 09:20 --acls
-rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
-rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
-rw-rw-rw-   2 vagrant vagrant    20 Dec 16 10:16 new_
drwxrwsr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
-rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
-rw-rw-r--   1 vagrant vagrant 12288 Dec 11 11:23 .proga.c.swp
-rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
-rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog
-rw-r--r--   1 root    root    30720 Dec  9 09:27 s_t_newcatalog.tar


[23:06:50 vagrant@centos7:~/test] $ chmod -R o-w $(find . -type d)
find: ‘./new_/dfdf.ee’: Permission denied
chmod: changing permissions of ‘./speckatalog’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./proga.o’: Operation not permitted
chmod: changing permissions of ‘./program’: Operation not permitted
chmod: changing permissions of ‘./--acls’: Operation not permitted
chmod: changing permissions of ‘./s_t_newcatalog.tar’: Operation not permitted
chmod: changing permissions of ‘./newcatalog’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: cannot access ‘./new_/dfdf.ee’: Permission denied
chmod: changing permissions of ‘./speckatalog’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./speckatalog/proba_suid’: Operation not permitted
chmod: changing permissions of ‘./newcatalog’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vf2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted
chmod: changing permissions of ‘./newcatalog/vd3_3’: Operation not permitted
chmod: cannot access ‘./new_/dfdf.ee’: Permission denied

[23:07:36 vagrant@centos7:~/test] $ ls -la
total 116
drwxrwxr-x+  5 vagrant vagrant  4096 Dec 16 10:13 .
drwx------. 24 vagrant vagrant  4096 Jan 24 13:10 ..
-rw-r--r--   1 root    root    30720 Dec  9 09:20 --acls
-rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
-rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
drw-rw-r--   2 vagrant vagrant    20 Dec 16 10:16 new_
drwxrwsr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
-rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
-rw-r--r--   1 vagrant vagrant 12288 Dec 11 11:23 .proga.c.swp
-rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
-rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog
-rw-r--r--   1 root    root    30720 Dec  9 09:27 s_t_newcatalog.tar
[23:07:40 vagrant@centos7:~/test] $

        [11:23:10 vagrant@centos7:~] $ ls -la /bin/passwd
        -rwsr-xr-x. 1 root root 27832 Jun  9  2014 /bin/passwd
        

#Для создания своего бинарника, для проверки прав SUID, нам нужен копмилируемый язык, пусть это будет Си
#Сперва создаём наш исходный файл proga.c в удобном для вас редакторе кода, и заполняем его следующим кодом:

[12:32:24 vagrant@centos7:~/test] $ vim proga.c                                                                                                 

    #include <stdio.h> // от англ. standard input/output header — стандартный заголовочный файл ввода-вывода) - заголовочный файл стандартной библиотеки языка Си
    #define SIZE 108 //создание константы SIZE для определния длины строки, 108 символов нам точно здесь хватит...

    int main(){            //начало основной программы, главной и обязательной функции в C

    char command[SIZE];  // объявление строковой переменной

    printf("Введите путь и имя создаваемого каталога:\n");          // вывод на экран информативной строки

    fscanf(stdin,"%[^\n]",command);   //запись ввода из клавиатуры пользователя, в переменную command, всех символов, включая пробелы, до конца строки 

    fprintf(stdout,"То, что мы ввели в переменную:%s \n",command);           //вывод на экран введённой строки

    mkdir(command, 0770);    //создать каталог с введённым именем(в переменную command), дать каталогу права 0770, т.е. весь доступ, но только владельцу и группе

    return 0;   //стандартное завершение функции на C
    }

#В этом же каталоге, создаём Makefile(имя файла начинается с большой буквы), он создаётся для удобного процесса компиляции, язык C.
#Который потом запустится одной командой make. У команд (2 и 4 строки) сохраняйте отступы с помощью Tab, не пробелы,
#в Makefile это важно... Содержимое файла:

[12:42:24 vagrant@centos7:~/test] $ vim Makefile                                                                                                                     

program: proga.o
         gcc -lm proga.o -o program

proga.o: proga.c
         gcc -c proga.c -o proga.o


#Компилируем файл от имени суперпользователя sudo, одной командой make

[12:44:16 vagrant@centos7:~/test] $ sudo make                                                                                                                  
    gcc -c proga.c -o proga.o
    gcc -lm proga.o -o program
    

#Смотрим, и видим свой бинарник с именем program

[12:44:20 vagrant@centos7:~/test] $ ls -la                                                                                      
    total 32
    drwxrwxr-x   2 vagrant vagrant   89 Dec  2 12:44 .
    drwx------. 20 vagrant vagrant 4096 Dec  2 12:42 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  2 12:36 proga.c
    -rw-r--r--   1 root    root    2048 Dec  2 12:44 proga.o
    -rwxr-xr-x   1 root    root    8753 Dec  2 12:44 program
    

#Устанавливаем SUID на наш файл program

[22:10:07 vagrant@centos7:~/test] $ sudo chmod u+s program                                                                      
    [23:53:07 vagrant@centos7:~/test] $ ls -la
    total 32
    drwxrwxr-x   2 vagrant vagrant   89 Dec  2 22:06 .
    drwx------. 20 vagrant vagrant 4096 Dec  2 12:42 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  2 12:36 proga.c
    -rw-r--r--   1 root    root    2048 Dec  2 12:44 proga.o
    -rwsr-xr-x   1 root    root    8753 Dec  2 12:44 program
    [23:53:14 vagrant@centos7:~/test] $

[23:53:14 vagrant@centos7:~/test] $ sudo mkdir speckatalog                                                                                     

[00:32:11 vagrant@centos7:~/test] $ mkdir speckatalog/proba_suid                                                                              
    mkdir: cannot create directory ‘speckatalog/proba_suid’: Permission denied

[00:32:51 vagrant@centos7:~/test] $ ls -la                                                                                                                                                  
    total 32
    drwxrwxr-x   3 vagrant vagrant  107 Dec  3 00:32 .
    drwx------. 20 vagrant vagrant 4096 Dec  2 12:42 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  2 12:36 proga.c
    -rw-r--r--   1 root    root    2048 Dec  2 12:44 proga.o
    -rwsr-xr-x   1 root    root    8753 Dec  2 12:44 program
    drwxr-xr-x   2 root    root       6 Dec  3 00:32 speckatalog

#пришло время воспользоваться нашей программой и создать пользователем vagrant подкаталог "proba_suid",
#в каталоге "speckatalog" владельцем которого является суперпользователь root. Посмотрим что у нас получится теперь:

[00:33:03 vagrant@centos7:~/test] $ ./program                                                                                             
    Введите путь и имя создаваемого каталога:
    speckatalog/proba_suid
    сейчас будет создан каталог:speckatalog/proba_suid

[00:51:07 vagrant@centos7:~/test] $ ls -lRa                                                                                                     
    .:
    total 32
    drwxrwxr-x   3 vagrant vagrant  107 Dec  3 00:32 .
    drwx------. 20 vagrant vagrant 4096 Dec  2 12:42 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  2 12:36 proga.c
    -rw-r--r--   1 root    root    2048 Dec  2 12:44 proga.o
    -rwsr-xr-x   1 root    root    8753 Dec  2 12:44 program
    drwxr-xr-x   3 root    root      18 Dec  3 00:51 speckatalog

    ./speckatalog:
    total 0
    drwxr-xr-x 3 root    root     18 Dec  3 00:51 .
    drwxrwxr-x 3 vagrant vagrant 107 Dec  3 00:32 ..
    drwxrwx--- 2 root    vagrant      6 Dec  3 00:51 proba_suid                                                                            

    ./speckatalog/proba_suid:
    total 0
    drwxrwx--- 2 root root  6 Dec  3 00:51 .
    drwxr-xr-x 3 root root 18 Dec  3 00:51 ..

[04:30:51 vagrant@centos7:~/test] $ sudo chmod u-s program                                                                                  

[04:31:34 vagrant@centos7:~/test] $ sudo chmod g+s program                                                                               

[04:31:41 vagrant@centos7:~/test] $ ls -la                                                                                             
    total 32
    drwxrwxr-x   3 vagrant vagrant  107 Dec  3 02:57 .
    drwx------. 20 vagrant vagrant 4096 Dec  3 02:56 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  3 02:56 proga.c
    -rw-r--r--   1 root    root    2048 Dec  3 02:57 proga.o
    -rwxr-sr-x   1 root    root    8753 Dec  3 02:57 program
    drwxr-xr-x   3 root    root      23 Dec  3 04:29 speckatalog
[04:31:46 vagrant@centos7:~/test] $

Сперва для урока, будет неудачная попытка по созданию подкаталога, в том же каталоге speckatalog. Но системный обработчик не
увидит ошибку, потому что мы действуем своими, а не системными инструментами. Просто молча не выполнится создание каталога.
Потому, что у speckatalog установлены права drwxr-xr-x, другими словами запись в него от имени группы тоже не предусмотрена,
на месте нужной для этого w стоит(-), нам как членам группы, также как и всем остальным, кроме владельца, возможен только
просмотр (r-x) содержимого, и исполнение(т.е. вход в каталог cd и показ содержимого ls).

[04:31:46 vagrant@centos7:~/test] $ ./program                                                                                           
    Введите путь и имя создаваемого каталога:
    speckatalog/proba_sgid
    сейчас будет создан каталог:speckatalog/proba_sgid

[04:57:52 vagrant@centos7:~/test] $ ls -lRa                                                                                   
    total 32
    drwxrwxr-x   3 vagrant vagrant  107 Dec  3 02:57 .
    drwx------. 20 vagrant vagrant 4096 Dec  3 02:56 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  3 02:56 proga.c
    -rw-r--r--   1 root    root    2048 Dec  3 02:57 proga.o
    -rwxr-sr-x   1 root    root    8753 Dec  3 02:57 program
    drwxr-xr-x   3 root    root      23 Dec  3 04:29 speckatalog

    ./speckatalog:
    total 0
    drwxr-xr-x 3 root    root     23 Dec  3 04:29 .
    drwxrwxr-x 3 vagrant vagrant 107 Dec  3 02:57 ..
    drwxrwx--- 2 root    vagrant   6 Dec  3 04:29 proba_suid

    ./speckatalog/proba_suid:
    total 0
    drwxrwx--- 2 root vagrant  6 Dec  3 04:29 .
    drwxr-xr-x 3 root root    23 Dec  3 04:29 ..

Так как в предыдущей попытке мы не получили нужный нам результат, то для осуществления задуманного добавим прав (w) на запись
в каталог speckatalog, для группы тоже. И снова выполним задуманное.

[04:58:06 vagrant@centos7:~/test] $ sudo chmod g+w speckatalog                                                                                                              

[05:12:10 vagrant@centos7:~/test] $ ./program                                                                                                                    
    Введите путь и имя создаваемого каталога:
    speckatalog/proba_sgid
    сейчас будет создан каталог:speckatalog/proba_sgid

[05:12:36 vagrant@centos7:~/test] $ ls -lRa                                                                                                                  
    total 32
    drwxrwxr-x   3 vagrant vagrant  107 Dec  3 02:57 .
    drwx------. 20 vagrant vagrant 4096 Dec  3 02:56 ..
    -rwxrwxr-x   1 vagrant vagrant   17 Nov 29 08:59 f1.txt
    -rwxrwxr-x   1 vagrant vagrant    0 Nov 29 05:37 f2.txt
    -rw-rw-r--   1 vagrant vagrant   93 Dec  2 12:34 Makefile
    -rw-rw-r--   1 vagrant vagrant  713 Dec  3 02:56 proga.c
    -rw-r--r--   1 root    root    2048 Dec  3 02:57 proga.o
    -rwxr-sr-x   1 root    root    8753 Dec  3 02:57 program
    drwxrwxr-x   4 root    root      40 Dec  3 05:12 speckatalog

    ./speckatalog:
    total 0
    drwxrwxr-x 4 root    root     40 Dec  3 05:12 .
    drwxrwxr-x 3 vagrant vagrant 107 Dec  3 02:57 ..
    drwxrwx--- 2 vagrant root     6 Dec  3 05:12 proba_sgid
    drwxrwx--- 2 root    vagrant   6 Dec  3 04:29 proba_suid

   ./speckatalog/proba_sgid:
    total 0
    drwxrwx--- 2 vagrant root  6 Dec  3 05:12 .
    drwxrwxr-x 4 root    root 40 Dec  3 05:12 ..

    ./speckatalog/proba_suid:
    total 0
    drwxrwx--- 2 root vagrant  6 Dec  3 04:29 .
    drwxrwxr-x 4 root root    40 Dec  3 05:12 ..
[05:12:40 vagrant@centos7:~/test] $

смотрим под каким мы сейчас пользователем, есть ли у нас права администратора, в каких группах мы состоим

[02:39:15 vagrant@centos7:~/test] $ whoami
    vagrant
[02:39:31 vagrant@centos7:~/test] $ sudo whoami
    root
[02:39:35 vagrant@centos7:~/test] $ id -Gn
vagrant wheel

создаём новый каталог newcatalog от имени суперпользователя, видим, что у него права 755, а нам нужно 775

[02:39:41 vagrant@centos7:~/test] $ sudo mkdir newcatalog
[02:39:50 vagrant@centos7:~/test] $ ls -la newcatalog
    total 0
    drwxr-xr-x 2 root    root     6 Dec  4 02:39 .
    drwxrwxr-x 4 vagrant vagrant 98 Dec  4 02:39 ..
[02:39:56 vagrant@centos7:~/test] $

создаём в системе новую группу my_new, устанавливаем её на наш каталог, добавляем группе владельцев права записи w в каталог чтобы получить 770,
убеждаемся что всё идёт по плану:

[02:40:20 vagrant@centos7:~/test] $ sudo groupadd my_new
[02:42:08 vagrant@centos7:~/test] $ sudo chgrp my_new newcatalog
[02:42:21 vagrant@centos7:~/test] $ sudo chmod g+w newcatalog
[02:42:30 vagrant@centos7:~/test] $ ls -la newcatalog
    total 0
    drwxrwxr-x 2 root    my_new   6 Dec  4 02:39 .
    drwxrwxr-x 4 vagrant vagrant 98 Dec  4 02:39 ..
[02:42:35 vagrant@centos7:~/test] $

Пробуем создать подкаталог в нашем каталоге, но мы ещё не имеем прав, потому что не в группе владельцев; добавляем своего пользоватля
в новую группу, и перелогиниваемся для активации принадлежность к новой группе.
С новыми правами создаём подкаталог и файл в каталоге newcatalog. Смотрим результат:

[02:43:06 vagrant@centos7:~/test] $ mkdir newcatalog/vd1
    mkdir: cannot create directory ‘newcatalog/vd1’: Permission denied
[02:43:26 vagrant@centos7:~/test] $
[02:43:36 vagrant@centos7:~/test] $ sudo usermod -aG my_new vagrant
[02:43:41 vagrant@centos7:~/test] $ su vagrant
    Password:
[02:43:53 vagrant@centos7:~/test] $ mkdir newcatalog/vd1
[02:44:30 vagrant@centos7:~/test] $ touch newcatalog/vf1
[02:44:48 vagrant@centos7:~/test] $
[02:48:11 vagrant@centos7:~/test] $ ls -la newcatalog
    total 0
    drwxrwxr-x 3 root    my_new  26 Dec  4 02:44 .
    drwxrwxr-x 4 vagrant vagrant 98 Dec  4 02:39 ..
    drwxrwxr-x 2 vagrant vagrant  6 Dec  4 02:44 vd1
    -rw-rw-r-- 1 vagrant vagrant  0 Dec  4 02:44 vf1
[02:49:16 vagrant@centos7:~/test] $

Добавляем в систему нового пользователя vagrant2, для удобства сразу включая его в группу администратора wheel. И самое главное включаем его в новую группу
my_new, чтобы дать права на запись в каталог newcatalog от своего имени. Создаём пользователю пароль. И логинимся под ним.
Убеждаемся, что всё верно.

[02:49:46 vagrant@centos7:~/test] $ sudo useradd -G wheel,my_new vagrant2
[02:50:00 vagrant@centos7:~/test] $ sudo passwd vagrant2
    Changing password for user vagrant2.
    New password:
    BAD PASSWORD: The password is shorter than 8 characters
    Retype new password:
    passwd: all authentication tokens updated successfully.
[02:50:11 vagrant@centos7:~/test] $ su vagrant2
    Password:
[02:50:24 vagrant2@centos7:/home/vagrant/test] $ whoami
    vagrant2
[02:50:33 vagrant2@centos7:/home/vagrant/test] $ sudo whoami
    [sudo] password for vagrant2:
    root
[02:50:41 vagrant2@centos7:/home/vagrant/test] $ id -Gn
vagrant2 wheel my_new

Создаём аналогично подкаталог и файл. Смотрим результат. Видим, что мы имеем каталоги и файлы от разных пользователей vagrant и vagrant2
и при этом объекты наследуют и основные группы владельцев, а не группу нашего каталога. И чем больше будет таких пользователей
тем больше, будет таких совершенно разных объектов, принадлежащих разным группам..., но нам это не нужно.
Не для этого мы создавали свою группу my_new

[02:50:46 vagrant2@centos7:/home/vagrant/test] $ mkdir newcatalog/vd2

[02:51:15 vagrant2@centos7:/home/vagrant/test] $ touch newcatalog/vf2

[02:51:23 vagrant2@centos7:/home/vagrant/test] $ ls -la newcatalog
    total 0
    drwxrwxr-x 4 root     my_new   46 Dec  4 02:51 .
    drwxrwxr-x 4 vagrant  vagrant  98 Dec  4 02:39 ..
    drwxrwxr-x 2 vagrant  vagrant   6 Dec  4 02:44 vd1
    drwxrwxr-x 2 vagrant2 vagrant2  6 Dec  4 02:51 vd2
    -rw-rw-r-- 1 vagrant  vagrant   0 Dec  4 02:44 vf1
    -rw-rw-r-- 1 vagrant2 vagrant2  0 Dec  4 02:51 vf2


Исправляем ситуацию, путём добавления флага SGID для группы владельцев нашего каталога. И повторяем операции по созданию новых
аналогичных объектов от обоих пользователей.

[02:51:48 vagrant2@centos7:/home/vagrant/test] $ sudo chmod g+s newcatalog
[02:52:22 vagrant2@centos7:/home/vagrant/test] $ mkdir newcatalog/vd2_2
[02:52:43 vagrant2@centos7:/home/vagrant/test] $ touch newcatalog/vf2_2

[02:52:49 vagrant2@centos7:/home/vagrant/test] $ su vagrant
    Password:
[02:52:59 vagrant@centos7:~/test] $ mkdir newcatalog/vd1_1
[02:53:20 vagrant@centos7:~/test] $ touch newcatalog/vf1_1

[02:53:31 vagrant@centos7:~/test] $
[02:53:33 vagrant@centos7:~/test] $ ls -la newcatalog
    total 0
    drwxrwsr-x 6 root     my_new   94 Dec  4 02:53 .
    drwxrwxr-x 4 vagrant  vagrant  98 Dec  4 02:39 ..
    drwxrwxr-x 2 vagrant  vagrant   6 Dec  4 02:44 vd1
    drwxrwsr-x 2 vagrant  my_new    6 Dec  4 02:53 vd1_1
    drwxrwxr-x 2 vagrant2 vagrant2  6 Dec  4 02:51 vd2
    drwxrwsr-x 2 vagrant2 my_new    6 Dec  4 02:52 vd2_2
    -rw-rw-r-- 1 vagrant  vagrant   0 Dec  4 02:44 vf1
    -rw-rw-r-- 1 vagrant  my_new    0 Dec  4 02:53 vf1_1
    -rw-rw-r-- 1 vagrant2 vagrant2  0 Dec  4 02:51 vf2
    -rw-rw-r-- 1 vagrant2 my_new    0 Dec  4 02:52 vf2_2

Обратите внимание, что теперь все созданные подкаталоги наследуют не только имя группы родителя, но и флаг SGID.
Поэтому все объекты создаваемые в этих подкаталогах будут рекурсивно наследовать такой же порядок. Создадим ещё пару
подкаталогов, чтобы в этом убедиться

[02:53:43 vagrant@centos7:~/test] $ mkdir newcatalog/vd1_1/vd1_1_1
[02:55:44 vagrant@centos7:~/test] $ ls -la newcatalog/vd1_1/vd1_1_1
    total 0
    drwxrwsr-x 2 vagrant my_new  6 Dec  4 02:55 .
    drwxrwsr-x 3 vagrant my_new 20 Dec  4 02:55 ..

[02:55:51 vagrant@centos7:~/test] $ su vagrant2
    Password:
[02:56:28 vagrant2@centos7:/home/vagrant/test] $ mkdir newcatalog/vd2_2/vd2_2_2

[02:56:44 vagrant2@centos7:/home/vagrant/test] $ ls -la newcatalog/vd2_2/vd2_2_2
    total 0
    drwxrwsr-x 2 vagrant2 my_new  6 Dec  4 02:56 .
    drwxrwsr-x 3 vagrant2 my_new 20 Dec  4 02:56 ..
[02:56:56 vagrant2@centos7:/home/vagrant/test] $
        

[11:18:19 vagrant2@centos7:/home/vagrant/test] $ ls -la ./newcatalog                                                                                                
    total 0
    drwxrwsr-x 6 root     my_new   94 Dec  4 02:53 .
    drwxrwxr-x 4 vagrant  vagrant  98 Dec  4 02:39 ..
    drwxrwxr-x 2 vagrant  vagrant   6 Dec  4 02:44 vd1
    drwxrwsr-x 3 vagrant  my_new   20 Dec  4 02:55 vd1_1
    drwxrwxr-x 2 vagrant2 vagrant2  6 Dec  4 02:51 vd2
    drwxrwsr-x 3 vagrant2 my_new   20 Dec  4 02:56 vd2_2
    -rw-rw-r-- 1 vagrant  vagrant   0 Dec  4 02:44 vf1
    -rw-rw-r-- 1 vagrant  my_new    0 Dec  4 02:53 vf1_1
    -rw-rw-r-- 1 vagrant2 vagrant2  0 Dec  4 02:51 vf2
    -rw-rw-r-- 1 vagrant2 my_new    0 Dec  4 02:52 vf2_2
[11:18:22 vagrant2@centos7:/home/vagrant/test] $ whoami
    vagrant2
[11:18:35 vagrant2@centos7:/home/vagrant/test] $ ls ./newcatalog/vd1_1
    total 0
    drwxrwsr-x 3 vagrant my_new 20 Dec  4 02:51 .
    drwxrwsr-x 6 root    my_new 94 Dec  4 02:50 ..
    drwxrwsr-x 2 vagrant my_new  6 Dec  4 02:53 vd1_1_1

[11:19:28 vagrant2@centos7:/home/vagrant/test] $ rm -rf ./newcatalog/vd1_1/vd1_1_1

[11:19:58 vagrant2@centos7:/home/vagrant/test] $ ls ./newcatalog/vd1_1

[11:20:03 vagrant2@centos7:/home/vagrant/test] $ ls -la ./newcatalog/vd2_2
    total 0
    drwxrwsr-x 3 vagrant2 my_new 20 Dec  4 02:56 .
    drwxrwsr-x 6 root     my_new 94 Dec  4 02:53 ..
    drwxrwsr-x 2 vagrant2 my_new  6 Dec  4 02:56 vd2_2_2

[11:26:28 vagrant2@centos7:/home/vagrant/test] $ chmod a+t ./newcatalog/vd2_2/

[11:26:37 vagrant2@centos7:/home/vagrant/test] $ ls -la ./newcatalog/vd2_2/vd2_2_2
    total 0
    drwxrwsr-x 2 vagrant2 my_new  6 Dec  4 11:26 .
    drwxrwsr-t 3 vagrant2 my_new 20 Dec  4 11:26 ..
[11:26:44 vagrant2@centos7:/home/vagrant/test] $ ls -la ./newcatalog/vd2_2/
    total 0
    drwxrwsr-t 3 vagrant2 my_new 20 Dec  4 11:26 .
    drwxrwsr-x 6 root     my_new 94 Dec  4 02:53 ..
    drwxrwsr-x 2 vagrant2 my_new  6 Dec  4 11:26 vd2_2_2
[11:29:45 vagrant2@centos7:/home/vagrant/test] $ su vagrant
    Password:
[11:29:54 vagrant@centos7:~/test] $ rm -rf ./newcatalog/vd2_2/vd2_2_2
    rm: cannot remove ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted

[11:30:09 vagrant@centos7:~/test] $ rm -rf ./newcatalog/vd2_2/
    rm: cannot remove ‘./newcatalog/vd2_2/vd2_2_2’: Operation not permitted

[11:30:33 vagrant@centos7:~/test] $ mkdir ./newcatalog/vd2_2/stop_it_i_have_a_sudo_just_in_case

[11:32:04 vagrant@centos7:~/test] $ chmod a+t ./newcatalog/vd1_1/
[11:32:29 vagrant@centos7:~/test] $

    

                                                         _
                                                        / |
                                                        | |
                                                        | |
                                                        |_|

создадим дополнительную группу my_new_acl и дополнительного пользователя vagrant3 и сделаем его пока единственным
участником этой группы.
    

[06:34:40 vagrant@centos7:~/test] $ sudo groupadd my_new_acl                                                                                            

[06:36:15 vagrant@centos7:~/test] $ sudo useradd -G wheel,my_new_acl vagrant3                                                                                        

[06:36:54 vagrant@centos7:~/test] $ sudo passwd vagrant3                                                                                                            
    Changing password for user vagrant3.
    New password:
    BAD PASSWORD: The password is shorter than 8 characters
    Retype new password:
    passwd: all authentication tokens updated successfully.


[06:37:10 vagrant@centos7:~/test] $ su vagrant3                                                                                                            
    Password:
    [06:37:29 vagrant3@centos7:/home/vagrant/test] $ whoami
    vagrant3
    [06:37:49 vagrant3@centos7:/home/vagrant/test] $ id -Gn
    vagrant3 wheel my_new_acl
    [06:37:53 vagrant3@centos7:/home/vagrant/test] $ ls
    Makefile  newcatalog  proga.c  proga.o  program  speckatalog

                                                         ____
                                                        |___ \
                                                          __) |
                                                         / __/
                                                        |_____|

настроим дополнительные права с помощью списков ACL для нашего каталога newcatalog. А именно предоставим полный доступ к каталогу
для новой группы my_new_acl, включив её в дополнительную группу, совместно с основной группой владельцев.

[06:38:53 vagrant3@centos7:/home/vagrant/test] $ sudo setfacl -m g:my_new_acl:rwx ./newcatalog                                                               

[06:39:22 vagrant3@centos7:/home/vagrant/test] $ getfacl ./newcatalog                                                                                       
    # file: newcatalog
    # owner: root
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    group:my_new_acl:rwx
    mask::rwx
    other::r-x

[06:39:47 vagrant3@centos7:/home/vagrant/test] $ ls -la ./newcatalog                                                            
    total 4
    drwxrwsr-x+ 6 root     my_new   94 Dec  5 05:01 .
    drwxrwxr-x  4 vagrant  vagrant  98 Dec  4 02:39 ..
    drwxrwxr-x  2 vagrant  vagrant   6 Dec  4 02:44 vd1
    drwxrwsr-t  3 vagrant  my_new   20 Dec  5 05:05 vd1_1
    drwxrwxr-x  2 vagrant2 vagrant2  6 Dec  4 02:51 vd2
    drwxrwsr-t  4 vagrant2 my_new   32 Dec  4 11:31 vd2_2
    -rw-rw-r--  1 vagrant  vagrant   0 Dec  4 02:44 vf1
    -rw-rw-r--  1 vagrant  my_new    0 Dec  4 02:53 vf1_1
    -rw-rw-r--  1 vagrant2 vagrant2  0 Dec  4 02:51 vf2
    -rw-rw-r--  1 vagrant2 my_new    0 Dec  4 02:52 vf2_2

    

Чтобы узнать возможности утилиты setfacl или getfacl просто как и обычно вызываем их с ключом --help, для больших
подробностей, как и везде в linux можно использовать man setfacl
    

[06:16:37 vagrant@centos7:~/test] $  setfacl --help                                                                   
    setfacl 2.2.51 -- set file access control lists
    Usage: setfacl [-bkndRLP] { -m|-M|-x|-X ... } file ...
      -m, --modify=acl        modify the current ACL(s) of file(s)
      -M, --modify-file=file  read ACL entries to modify from file
      -x, --remove=acl        remove entries from the ACL(s) of file(s)
      -X, --remove-file=file  read ACL entries to remove from file
      -b, --remove-all        remove all extended ACL entries
      -k, --remove-default    remove the default ACL
          --set=acl           set the ACL of file(s), replacing the current ACL
          --set-file=file     read ACL entries to set from file
          --mask              do recalculate the effective rights mask
      -n, --no-mask           don't recalculate the effective rights mask
      -d, --default           operations apply to the default ACL
      -R, --recursive         recurse into subdirectories
      -L, --logical           logical walk, follow symbolic links
      -P, --physical          physical walk, do not follow symbolic links
          --restore=file      restore ACLs (inverse of `getfacl -R')
          --test              test mode (ACLs are not modified)
      -v, --version           print version and exit
      -h, --help              this help text


создадим ещё один каталог vd3_3 от пользователя vagrant3, убедимся что флаги SGID, установленные в примере(предыдущий листинг)
всё ещё работают несмотря на то, что мы не состоим в группе my_new, но просто имеем права на запись в этот каталог, благодаря
настроенному списку ACL, с правами rwx для группы my_new_acl

[06:40:03 vagrant3@centos7:/home/vagrant/test] $ mkdir ./newcatalog/vd3_3                                                                                         

[06:40:59 vagrant3@centos7:/home/vagrant/test] $ ls -la ./newcatalog                                                                                        
    total 4
    drwxrwsr-x+ 7 root     my_new  106 Dec  5 06:40 .
    drwxrwxr-x  4 vagrant  vagrant   98 Dec  4 02:39 ..
    drwxrwxr-x  2 vagrant  vagrant    6 Dec  4 02:44 vd1
    drwxrwsr-t  3 vagrant  my_new    20 Dec  5 05:05 vd1_1
    drwxrwxr-x  2 vagrant2 vagrant2   6 Dec  4 02:51 vd2
    drwxrwsr-t  4 vagrant2 my_new    32 Dec  4 11:31 vd2_2
    drwxrwsr-x  2 vagrant3 my_new     6 Dec  5 06:40 vd3_3
    -rw-rw-r--  1 vagrant  vagrant    0 Dec  4 02:44 vf1
    -rw-rw-r--  1 vagrant  my_new     0 Dec  4 02:53 vf1_1
    -rw-rw-r--  1 vagrant2 vagrant2   0 Dec  4 02:51 vf2
    -rw-rw-r--  1 vagrant2 my_new     0 Dec  4 02:52 vf2_2
                                                     _____
                                                    |___ /
                                                      |_ \
                                                     ___) |
                                                    |____/

Сделаем бэкап всех правил из списка ACL. Пока что у нас только одно правило ACL, на одном указанном каталоге...
Но их может быть бесконечно много. Поэтому сохраним этот вывод в специальный файл, который станет нашим бэкапом списков ACL.
Кстати полный бэкап всех существующих на данный момент списков ACL, можно сделать аналогичным образом, указав в
качестве имени каталога корень /. Сначала мы просто делаем вывод на экран списка каталога newcatalog, с его подкаталогами.
Чтобы понимать, что сохраним в файл на следующем шаге.
    


[06:17:11 vagrant@centos7:~/test] $ getfacl -R newcatalog                                                                      
    # file: newcatalog
    # owner: root
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    group:my_new_acl:rwx
    mask::rwx
    other::r-x

    # file: newcatalog/vd1
    # owner: vagrant
    # group: vagrant
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vf1
    # owner: vagrant
    # group: vagrant
    user::rw-
    group::rw-
    other::r--

    # file: newcatalog/vd2
    # owner: vagrant2
    # group: vagrant2
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vf2
    # owner: vagrant2
    # group: vagrant2
    user::rw-
    group::rw-
    other::r--

    # file: newcatalog/vd2_2
    # owner: vagrant2
    # group: my_new
    # flags: -st
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vd2_2/vd2_2_2
    # owner: vagrant2
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vd2_2/nu_nu
    # owner: vagrant
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vf2_2
    # owner: vagrant2
    # group: my_new
    user::rw-
    group::rw-
    other::r--

    # file: newcatalog/vf1_1
    # owner: vagrant
    # group: my_new
    user::rw-
    group::rw-
    other::r--

    # file: newcatalog/vd1_1
    # owner: vagrant
    # group: my_new
    # flags: -st
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vd1_1/vd1_1_1
    # owner: vagrant
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    other::r-x

    # file: newcatalog/vd3_3
    # owner: vagrant3
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    other::r-x

[06:18:26 vagrant@centos7:~/test] $ getfacl -R newcatalog > file.acl 


                                       _  _
                                      | || |
                                      | || |_
                                      |__   _|
                                         |_|

А сейчас мы увидим, как данные о списках ACL, "слетят" из-за того, что мы проделаем операцию
архивирования утилитой tar, но без нужных опций. После разархивации из такого архива списки ACL обнуляются, потому что
утилита tar, по умолчанию без опции --acls их не сохраняет.

Затем мы восстановим данные списков из созданного нами бэкапа file.acl

И снова сделаем процесс архивации, но с сохранением настроек ACL, теперь мы будет использовать утилиту tar с нужными опциями
--acls, --selinux, --xattrs, чтобы при любых обстоятельствах сохранились в архив все атрибуты прав.


[10:58:05 vagrant@centos7:~/test] $ sudo tar -cvf newcatalog.tar  ./newcatalog                                                                              
    ./newcatalog/
    ./newcatalog/vd1/
    ./newcatalog/vf1
    ./newcatalog/vd2/
    ./newcatalog/vf2
    ./newcatalog/vd2_2/
    ./newcatalog/vd2_2/vd2_2_2/
    ./newcatalog/vd2_2/nu_nu/
    ./newcatalog/vf2_2
    ./newcatalog/vf1_1
    ./newcatalog/vd1_1/
    ./newcatalog/vd1_1/vd1_1_1/
    ./newcatalog/vd3_3/
[10:58:26 vagrant@centos7:~/test] $ ls -la
    total 48
    drwxrwxr-x   4 vagrant vagrant   135 Dec  6 10:58 .
    drwx------. 20 vagrant vagrant  4096 Dec  3 06:31 ..
    -rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
    -rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
    drwxrwsr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
    -rw-rw-r--   1 root    root    10240 Dec  6 10:58 newcatalog.tar 
    -rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
    -rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
    -rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
    drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog

[10:59:07 vagrant@centos7:~/test] $ sudo rm -rf newcatalog                                                                 
    [10:59:14 vagrant@centos7:~/test] $ ls
    file.acls  Makefile  newcatalog.tar  proga.c  proga.o  program  speckatalog

[10:59:19 vagrant@centos7:~/test] $sudo tar -xvf newcatalog.tar                                                                                                     
    ./newcatalog/
    ./newcatalog/vd1/
    ./newcatalog/vf1
    ./newcatalog/vd2/
    ./newcatalog/vf2
    ./newcatalog/vd2_2/
    ./newcatalog/vd2_2/vd2_2_2/
    ./newcatalog/vd2_2/nu_nu/
    ./newcatalog/vf2_2
    ./newcatalog/vf1_1
    ./newcatalog/vd1_1/
    ./newcatalog/vd1_1/vd1_1_1/
    ./newcatalog/vd3_3/
[10:59:34 vagrant@centos7:~/test] $ ls -la
    total 44
    drwxrwxr-x   4 vagrant vagrant   135 Dec  6 10:59 .
    drwx------. 20 vagrant vagrant  4096 Dec  3 06:31 ..
    -rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acl
    -rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
    drwxrwsr-x   7 root    my_new   106  Dec  5 06:40 newcatalog
    -rw-rw-r--   1 root    root    10240 Dec  6 10:58 newcatalog.tar
    -rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
    -rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
    -rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
    drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog

[10:59:40 vagrant@centos7:~/test] $getfacl newcatalog
    # file: newcatalog
    # owner: root
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    other::r-x


Однако мы знали, что делаем...
Поэтому всё-равно восстановим свои данные о списках из файла file.acl, который мы заблаговременно
создали на предыдущих шагах. Восстановятся не только списки, но группы владельцев, и все
флаги расширенных прав, если бы мы их тоже утеряли при неправильной архивации, например без прав sudo...
Поэтому делать такие бэкапы прав, крайне полезно, даже если не использовать списки ACL.                                                                                     


[11:00:09 vagrant@centos7:~/test] $ sudo setfacl --restore=file.acl

[11:00:39 vagrant@centos7:~/test] $ getfacl newcatalog                
    # file: newcatalog
    # owner: root
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx
    group:my_new_acl:rwx
    mask::rwx
    other::r-x


    

    Теперь воспользуемся той же утилитой tar, но с полностью правильными опциями
    


[02:03:10 vagrant@centos7:~/test] $ ls -la                                              
        total 40
        drwxrwxr-x  4 vagrant vagrant 4096 Dec  9 02:03 .
        drwx------. 21 vagrant vagrant 4096 Dec  9 01:47 ..
        -rw-rw-r--   1 vagrant vagrant 1322 Dec  6 06:19 file.acls
        -rw-rw-r--   1 vagrant vagrant   91 Dec  3 06:14 Makefile
        drwxrwsr-x+  7 root    my_new  4096 Dec  5 06:40 newcatalog
        -rw-rw-r--   1 vagrant vagrant 1579 Dec  3 06:31 proga.c
        -rw-r--r--   1 root    root    2048 Dec  3 06:32 proga.o
        -rwsr-xr-x   1 root    root    8753 Dec  3 06:32 program
        drwxrwxr-x   4 root    root      40 Dec  3 06:33 speckatalog

[02:03:18 vagrant@centos7:~/test] $ sudo tar --acls --selinux --xattrs -cvf s_t_newcatalog.tar  ./newcatalog
    ./newcatalog/
    ./newcatalog/vd1/
    ./newcatalog/vf1
    ./newcatalog/vd2/
    ./newcatalog/vf2
    ./newcatalog/vd2_2/
    ./newcatalog/vd2_2/vd2_2_2/
    ./newcatalog/vd2_2/nu_nu/
    ./newcatalog/vf2_2
    ./newcatalog/vf1_1
    ./newcatalog/vd1_1/
    ./newcatalog/vd1_1/vd1_1_1/
    ./newcatalog/vd3_3/

[02:03:39 vagrant@centos7:~/test] $ sudo rm -rf newcatalog

[02:03:54 vagrant@centos7:~/test] $ ls
        file.acls  Makefile  s_t_newcatalog.tar  proga.c  proga.o  program  speckatalog

[02:03:58 vagrant@centos7:~/test] $ sudo tar --acls --selinux --xattrs -xvf s_t_newcatalog.tar
    ./newcatalog/
    ./newcatalog/vd1/
    ./newcatalog/vf1
    ./newcatalog/vd2/
    ./newcatalog/vf2
    ./newcatalog/vd2_2/
    ./newcatalog/vd2_2/vd2_2_2/
    ./newcatalog/vd2_2/nu_nu/
    ./newcatalog/vf2_2
    ./newcatalog/vf1_1
    ./newcatalog/vd1_1/
    ./newcatalog/vd1_1/vd1_1_1/
    ./newcatalog/vd3_3/

[02:04:16 vagrant@centos7:~/test] $ ls -la                                                                                   
    total 72
    drwxrwxr-x+  4 vagrant vagrant  4096 Dec  9 02:04 .
    drwx------. 21 vagrant vagrant  4096 Dec  9 01:47 ..
    -rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
    -rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
    drwxrwsr-x+  7 root    my_new   4096 Dec  5 06:40 newcatalog
    -rw-r--r--   1 root    root    30720 Dec  9 02:03 s_t_newcatalog.tar
    -rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
    -rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
    -rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
    drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog
[02:04:19 vagrant@centos7:~/test] $
[02:04:19 vagrant@centos7:~/test] $ getfacl newcatalog
        # file: newcatalog
        # owner: root
        # group: my_new
        # flags: -s-
        user::rwx
        group::rwx
        group:my_new_acl:rwx
        mask::rwx
        other::r-x





                             ____
                            | ___|
                            |___ \
                             ___) |
                            |____/

Мы упоминали в теоретической части, что права списков имееют более низкий приоритет, чем основные права доступа.
Поэтому любые резрешения от списков ACL, не могут превышать общие правила, они могут только их урезать, но не расширить.
Как только вы устанавливаете списки ACL для файла, в файле задается маска максимально возможных привилегий, которые
пользователь или группа ACL могут иметь для файла. Таким образом, даже если вы предоставляете пользователю больше прав
через ACL, чем позволяют права группы, его права не будут превышать прав группы владельцев установленных через chmod.

[09:15:51 vagrant3@centos7:/home/vagrant/test] $ sudo chmod g-w newcatalog                                       

[09:16:40 vagrant3@centos7:/home/vagrant/test] $ ls -la
    total 52
    drwxrwxr-x+  4 vagrant vagrant  4096 Dec  6 10:59 .
    drwx------. 20 vagrant vagrant  4096 Dec  3 06:31 ..
    -rw-rw-r--   1 vagrant vagrant  1322 Dec  6 06:19 file.acls
    -rw-rw-r--   1 vagrant vagrant    91 Dec  3 06:14 Makefile
    drwxr-sr-x+  7 root    my_new    106 Dec  5 06:40 newcatalog
    -rw-rw-r--   1 vagrant vagrant  1579 Dec  3 06:31 proga.c
    -rw-r--r--   1 root    root     2048 Dec  3 06:32 proga.o
    -rwsr-xr-x   1 root    root     8753 Dec  3 06:32 program
    drwxrwxr-x   4 root    root       40 Dec  3 06:33 speckatalog

[09:16:46 vagrant3@centos7:/home/vagrant/test] $ getfacl newcatalog                                                                      
    # file: newcatalog
    # owner: root
    # group: my_new
    # flags: -s-
    user::rwx
    group::rwx			#effective:r-x
    group:my_new_acl:rwx		#effective:r-x
    mask::r-x
    other::r-x

    [09:16:54 vagrant3@centos7:/home/vagrant/test] $

     _____        _                   _____ _  _
    |  ___|__  __| | ___  _ __ __ _  |___ /| || |
    | |_ / _ \/ _` |/ _ \| '__/ _` |   |_ \| || |_
    |  _|  __/ (_| | (_) | | | (_| |  ___) |__   _|
    |_|  \___|\__,_|\___/|_|  \__,_| |____/   |_|


[user@fedora ~]$ sudo tune2fs -l /dev/nvme0n1p9 | grep "Default mount options:"
tune2fs: Bad magic number in super-block while trying to open /dev/nvme0n1p9

ramanzes@fedora ~]$ sudo tune2fs -l /dev/nvme0n1p6 | grep "mount options"
Default mount options:    user_xattr acl


Тоже самое, я получаю и на виртуальной машине с CentOS у которой LVMы на xfs,
и такой способ проверки данных файловых систем, как эти не подходит.

      ____           _              _____
     / ___|___ _ __ | |_ ___  ___  |___  |
    | |   / _ \ '_ \| __/ _ \/ __|    / /
    | |__|  __/ | | | || (_) \__ \   / /
     \____\___|_| |_|\__\___/|___/  /_/



[01:41:12 root@centos7:/home/vagrant/test] # lsblk -f
    NAME            FSTYPE      LABEL UUID                                   MOUNTPOINT
    sda
    ├─sda1          xfs               44e5d762-7957-4c35-afca-de806b2d5f40   /boot
    └─sda2          LVM2_member       ljQvhs-xzfL-ba6a-316w-YpfH-BSVk-nKnKZA
      ├─centos-swap swap              b794b19d-4b5f-400a-8507-dca1c409da86   [SWAP]
      └─centos-root xfs               8c99abdd-12c1-4e2b-beef-f3c20b841aab   /

[01:57:32 vagrant@centos7:~/test] $ sudo  tune2fs -l /dev/mapper/centos-root | grep "mount options"
tune2fs: Bad magic number in super-block while trying to open /dev/mapper/centos-root
    Couldn't find valid filesystem superblock.

[03:24:22 vagrant@centos7:~] $ sudo setfacl -m u:vagrant:rwx /tmp                                                                               

[03:25:31 vagrant@centos7:~] $ sudo getfacl /tmp

        getfacl: Removing leading '/' from absolute path names
        # file: tmp
        # owner: root
        # group: root
        # flags: --t
        user::rwx
        user:vagrant:rwx
        group::rwx
        mask::rwx
        other::rwx



 __  ____  __  _     _                    ____  _
|  \/  \ \/ / | |   (_)_ __  _   ___  __ |___ \/ |
| |\/| |\  /  | |   | | '_ \| | | \ \/ /   __) | |
| |  | |/  \  | |___| | | | | |_| |>  <   / __/| |
|_|  |_/_/\_\ |_____|_|_| |_|\__,_/_/\_\ |_____|_|


root@mx1:/root #  tune2fs -l /dev/sda2 | grep "mount options"
Default mount options:    user_xattr acl

[07:03:54 vagrant@centos7:/home] $ ls -l
    total 4
    drwx------. 21 vagrant  vagrant  4096 Dec 10 07:02 vagrant
    drwx------   5 vagrant2 vagrant2  121 Dec  6 11:10 vagrant2
    drwx------   5 vagrant3 vagrant3  121 Dec  6 11:10 vagrant3

SELinux обеспечивает комбинацию управления доступом на основе ролей (RBAC), многоуровневой безопасности (multi-level security, MLS)
и модели принудительной типизации доступа (type enforcement, TE).


[07:18:05 vagrant@centos7:/home] $ ls -lZ

    drwx------. vagrant  vagrant  unconfined_u :object_r :user_home_dir_t :s0 vagrant
    drwx------  vagrant2 vagrant2 ?                                vagrant2
    drwx------  vagrant3 vagrant3 ?                                vagrant3

С командой ls -Z отображаются четыре связанных с файлом элемента, которые относятся к SELinux.
В списке контекста безопасности файла находится следующее.
    user Файл сопоставляется с пользователем SELinux unconfined_u.
    role Файл сопоставляется с ролью :object_r.
    type Файл считается частью домена :user_home_dir_t.
    level:
        sensitivity. У этого пользователя есть только один уровень чувствительности,
                     и он самый низкий — :s0;
        categories. Модель MCS для этого файла не установлена.

[09:49:09 vagrant@centos7:/home] $cat  /etc/selinux/config

    # This file controls the state of SELinux on the system.
    # SELINUX= can take one of these three values:
    #      enforcing - SELinux security policy is enforced.
    #      permissive - SELinux prints warnings instead of enforcing.
    #      disabled - No SELinux policy is loaded.
    SELINUX=disabled
    # SELINUXTYPE= can take one of these two values:
    #     targeted - Targeted processes are protected,
    #     minimum - Modification of targeted policy. Only selected processes are protected.
    #     mls - Multi Level Security protection.
    SELINUXTYPE=targeted

    


[user@fedora ~]$ sudo getenforce                                                     
Disabled

[user@fedora ~]$ sestatus                                                            
SELinux status:                 disabled