с высокого уровня:

• разрешения базовой файловой системы, поддерживаемые всеми linux и всеми файловыми системами , которые -rwxrwxrwxобрабатываются chmod,вместе с идентификаторами владельца и группы, привязанными к каждому файлу или папке в файловой системе, обрабатываемой chownи chgrp; все в основном знают это произведение.
• Расширенные атрибуты файла , которые сокращены или известны как xattr . Это функции файловой системы, которые позволяют пользователям связывать компьютерные файлы с метаданными, не интерпретируемыми файловой системой, тогда как обычные атрибуты имеют цель, строго определенную файловой системой; атрибуты представляют собой пары значений имя :, постоянно связанные с файлами и каталогами, подобно строкам среды, связанным с процессом. Существуют специальные команды Linux, связанные с простой установкой этих метаданных для различных файлов/папок.
• SELINUX , известный как безопасный Linux . Вы можете найти в Интернете историю на нем. Также знайте, что есть альтернативы SELINUX, такие как AppArmor, и, возможно, есть и другие. На данный момент это модули ядра, которые обеспечивают функциональность и механизмы для выполнения обязательного контроля доступа к MAC ()с использованием xattr; selinux хранит метки безопасности файлов в xattrs . И есть определенные команды, связанные с selinux.

другие ключевые моменты:

• эра и версия gnu/linux имеет значение в отношении xattr и selinux для того, что доступно и что функционально.
• сообщается, что не все файловые системы поддерживают xattr; лучше оставить индивидуальному исследованию на основе используемого дистрибутива и версии linux (rhel/suse/debian,irix,solaris,aix,unix 1960-х годов)
• на самом деле это просто встроенные базовые права доступа к файлам/папкам с uid/gid плюс xattr, которые делают все возможным; SELinux использует xattr для хранения меток безопасности файлов/папок... с selinux вся низкоуровневая работа выполняется/определяется в xattr, чтобы вы могли ее использовать. Поэтому, если ваша древняя файловая система не поддерживает xattr, вы не будете использовать selinux.
• вы можете включить или отключить selinux (или apparmor или любой другой модуль ядра)
• в зависимости от вашей версии Linux может включать или отключать xattr для данной смонтированной файловой системы; Я помню в SLES 11 параметр монтирования fstab user_xattr, и я мог выбрать, чтобы xattr не был доступен в корневой файловой системе во время установки; я думаю, что теперь с RHEL / CentOS 7 xattr есть по умолчанию, и вы не можете его не иметь.
• при выполнении ls, если вы видите -rwxrwxrwx+, что +указывает на наличие расширенного атрибута файла в этом объекте .
• Список контроля доступа(ACL):— это список разрешений, прикрепленных к объекту. ACL указывает, каким пользователям или системным процессам предоставляется доступ к объектам, а также какие операции разрешены для данных объектов.
• из centos wiki selinux:selinux — это механизм безопасности MAC, реализованный в ядре; без включенного SELinux для управления доступом пользователей к файлам используются только традиционные методы дискреционного контроля доступа (DAC ), такие как права доступа к файлам или списки контроля доступа (ACL ); Как пользователям, так и программам разрешено предоставлять небезопасные права доступа к файлам другим или, наоборот, получать доступ к частям системы, которые в противном случае не были бы необходимы для нормальной работы; По сути, в традиционной модели DAC есть два уровня привилегий, root и user, и нет простого способа реализовать модель наименьших -привилегий. Многие процессы, запущенные с правами root, позже теряют права на запуск от имени пользователя с ограниченными правами
.
• стоит прочитать, чтобы оценить использование xattr и списков ACL, потому что linux [ядро] рассматривает все как файл (блокирует устройства или сетевые порты )вы можете пометить почти все с помощью xattr и применить некоторые управления доступом через selinux, это не только файлы/папки.https://wiki.centos.org/HowTos/SELinux
• xattr может вызвать проблемы с перемещением данных между системами и файловыми системами, а также NFS, где [новые] системы имеют более полную поддержку xattr по сравнению со старыми системами, которые могут не распознавать все эти расширенные атрибуты [если вообще]. Помните об использовании tarдля вещей с xattr, если он остается в этой системе, нет проблем, но если он уходит в другое место, могут быть проблемы, если важны xattr (, т.е. samba и копирование между win10 ntfs и linux ext3/4,btrfs,хфс; или туда и обратно между сетевыми устройствами хранения)
• Если нет selinux или другого механизма, обеспечивающего соблюдение ACL с помощью того, что определено в xattrs, то xattrs теоретически может ничего не значить и быть отброшенным или удаленным, потому что в этот момент это просто дополнительный багаж.
• будьте осторожны отключите selinux сейчас в rhel/centos 7, потому что, если метки файловой системы через xattr будут потеряны, это вызовет проблемы при изменении selinux обратно на принудительное или разрешающее ; опять же, это зависит от вашей версии Linux и от того, как она использует xattr через selinux.

Базовый общий ресурс Samba не работает в RHEL/CentOS 7... потому что selinux по умолчанию настроен на принудительное выполнение; selinux запрещает все, пока вы не разрешите это, поэтому либо отключите selinux (bad ), либо установите разрешающий. Если вы оставите selinux в качестве принудительного, то вы должны пометить папку, которую вы хотите использовать samba, с помощью расширенного атрибута, чтобы selinux распознал и разрешил общий доступ. Поэтому, если вы оставите принудительное применение selinux, то со всеми командами selinux (, которые затем установят необходимые xattrs):

# from centos 7.6 /etc/samba/smb.conf.example

# Turn the samba_domain_controller Boolean on to allow a Samba PDC to use the useradd and groupadd family of binaries.
# Run the following command as the root user to turn this Boolean on:

# this is an selinux command, not 
setsebool -P samba_domain_controller on

# If you create a new directory, such as a new top-level directory, label it with      samba_share_t
# so that SELinux allows Samba to read and write to it.
# Do not label system directories, such as /etc/ and /home/ with samba_share_t, as such directories should already have an SELinux label.


# the xattr having the name "samba_share_t" is labelled onto "/mydatashare"
# this xattr of syntax "samba_share_t" is recognized by an existing rule in selinux
# if the folder does not have the xattr "samba_share_t" then the  rule in selinux (when enforced) will prevent access via samba to the folder.

chcon -t samba_share_t /mydatashare

вы также используете selinux в системе linux с этим общим ресурсом samba, чтобы применить ограничения к файлам/папкам в этом общем ресурсе samba (с использованием любого расширенного атрибута ). Поскольку эти файлы / папки являются общими, пользователь законно копирует некоторые из них на свой компьютер с Win10, а затем копирует обратно, теряя расширенный атрибут.Теперь, после этого копирования туда и обратно, в этой Linux-системе selinux ограничит доступ к указанным файлам, потому что необходимый xattr больше не присутствует, и пользователи/администраторы стучат головой, задаваясь вопросом, почему все только что работало, теперь это не... установить selinux разрешить и распознать проблему потерянных xattrs, появляющихся в журналах аудита, но это не будет прямо указывать, что это было результатом обратной и прямой копии, потерявшей xattr. Также подумайте о резервном копировании и восстановлении данных, а также о потенциальной работе, необходимой для запоминания xattrs в дополнение к uid/gid, если вы хотите обеспечить безопасность на основе правильных xattrs.