Linux ACL（setfacl・getfacl）入門｜ファイルの詳細なアクセス権限をユーザー・グループ別に制御する実践ガイド

# 要件: /opt/shared/data/ に対して
#   - alice はフル権限（rwx）
#   - bob はリードオンリー（r--）
#   - グループ staff は実行のみ（--x）
#   - その他は完全拒否

# 標準パーミッションでは alice と bob を個別に制御できない
ls -ld /opt/shared/data/
# drwxr-x--- 2 alice staff 4096 Aug 30 09:00 /opt/shared/data/
# ↑ bob が staff グループに入っていれば r-x になってしまう
#   bob だけ r-- にする方法がない

# RHEL / AlmaLinux / Rocky Linux
sudo dnf install acl

# Ubuntu / Debian
sudo apt install acl

# インストール確認
which setfacl getfacl

# ext4 の ACL 設定確認（acl が含まれていれば有効）
sudo tune2fs -l /dev/sda1 | grep "Default mount"
# Default mount options: user_xattr acl

# 現在のマウントオプションを確認
mount | grep "on / "
# /dev/sda1 on / type ext4 (rw,relatime)
# → defaults / relatime は acl を含む

# ユーザー alice にフル権限（rwx）を付与
sudo setfacl -m u:alice:rwx /opt/shared/data/

# ユーザー bob に読み取りのみ付与
sudo setfacl -m u:bob:r-- /opt/shared/data/

# 複数エントリをカンマ区切りでまとめて設定
sudo setfacl -m u:alice:rwx,u:bob:r-- /opt/shared/data/

# グループ auditors にログディレクトリへの読み取りを付与
sudo setfacl -m g:auditors:r-x /var/log/app/

# グループ developers に開発ディレクトリへのフルアクセスを付与
sudo setfacl -m g:developers:rwx /opt/project/src/

# 特定ユーザーの ACL エントリを削除
sudo setfacl -x u:bob /opt/shared/data/

# すべての ACL を削除して標準パーミッションに戻す
sudo setfacl -b /opt/shared/data/

# デフォルト ACL のみ削除（通常の ACL は残す）
sudo setfacl -k /opt/shared/data/

getfacl /opt/shared/data/

# file: opt/shared/data/
# owner: root
# group: staff
user::rwx              # オーナー（root）の権限
user:alice:rwx         # ユーザー alice の ACL
user:bob:r--           # ユーザー bob の ACL（読み取りのみ）
group::r-x             # グループ staff の標準権限
group:auditors:r-x     # グループ auditors の ACL
mask::rwx              # 有効マスク（ACL の上限権限）
other::---             # その他のユーザー

# マスクを rwx に設定（ACL の上限を広げる）
sudo setfacl -m m::rwx /opt/shared/data/

ls -ld /opt/shared/data/
# drwxrwx---+ 2 root staff 4096 Aug 30 10:00 /opt/shared/data/
#          ^ この + が ACL 設定済みを示す記号

# -d オプションでデフォルト ACL を設定
sudo setfacl -d -m u:alice:rwx /opt/shared/data/
sudo setfacl -d -m g:auditors:r-x /opt/shared/data/

# 設定確認（default: で始まる行がデフォルト ACL）
getfacl /opt/shared/data/

# ...（通常の ACL 行）...
default:user::rwx
default:user:alice:rwx
default:group::r-x
default:group:auditors:r-x
default:mask::rwx
default:other::---

sudo setfacl -m u:deploy:rwx /var/www/html/
sudo setfacl -m u:www-data:r-x /var/www/html/
# 新規ファイルへも自動適用
sudo setfacl -d -m u:deploy:rwx /var/www/html/
sudo setfacl -d -m u:www-data:r-x /var/www/html/

# -R オプションで既存ファイルにも再帰的に適用
sudo setfacl -R -m g:auditors:r-x /var/log/app/
# 新規ファイルへも自動適用
sudo setfacl -d -m g:auditors:r-- /var/log/app/

# /opt/project-a/ はチーム A のみアクセス可
sudo chmod 700 /opt/project-a/
sudo setfacl -m g:team-a:rwx /opt/project-a/
sudo setfacl -d -m g:team-a:rwx /opt/project-a/

# /opt/project-b/ はチーム B のみアクセス可
sudo chmod 700 /opt/project-b/
sudo setfacl -m g:team-b:rwx /opt/project-b/
sudo setfacl -d -m g:team-b:rwx /opt/project-b/

# cp で ACL を保持
cp --preserve=all -r /opt/project/ /backup/

# rsync で ACL を保持（-A オプション）
rsync -aA /opt/project/ /backup/project/

# tar でバックアップ（--xattrs オプション）
tar --xattrs -czf project-backup.tar.gz /opt/project/