第5章 ユーザー・グループ・パーミッション

5.1 Linuxはマルチユーザー

Windowsの個人PCを一人で使っていると意識しにくいのですが、Linuxは「1台のマシンを複数の人が同時に使う」ことを大前提に設計されています。これをマルチユーザーと呼びます。

もともとLinuxの祖先であるUNIXは、高価な大型コンピュータを大勢で共有する時代に生まれました(第1章)。1台のサーバーに、開発者A、開発者B、運用担当のCさんが同時にログインして作業する——そんな状況が当たり前だったのです。現代のサーバーやクラウドでも事情は同じで、1台のマシンを複数の人・複数のプログラムが共有します。

複数人が同じマシンを使うなら、当然こういう疑問が出てきます。

• Aさんのファイルを、Bさんが勝手に消したり読んだりできてよいのか?
• 一般社員が、システム全体の設定を書き換えられてよいのか?
• あるプログラムのバグや乗っ取りが、システム全体に波及してよいのか?

これらを防ぐために、Linuxには「誰が(ユーザー)」「どのグループに属し」「何に対して何をしてよいか(パーミッション)」という権限の仕組みが最初から組み込まれています。この章はその全体像を扱います。

5.2 rootと一般ユーザー

Linuxのユーザーは、大きく2種類に分けて考えると理解しやすくなります。

root は「何でもできる」がゆえに危険です。たとえば rm -rf /(ルート以下をすべて削除)のような操作も、root なら止められることなく実行してしまい、システムが起動不能になります。権限がある分、ミスもそのまま通ってしまうのです。

そこでLinuxの鉄則は、「普段は一般ユーザーで作業し、管理作業が必要なときだけ一時的に管理者権限を借りる」という運用です。これは、コンピュータ大全コース第3章で触れた最小権限の原則——「必要最小限の権限しか与えない」——をユーザー運用に当てはめたものです。常に管理者でいると、ちょっとしたミスや、乗っ取られたプログラムの暴走が、システム全体に及んでしまいます。

5.3 sudo — 一時的に管理者権限を借りる

sudo(スードゥー / エスユードゥー)は「superuser do」の略で、そのコマンド1回だけを管理者権限で実行するためのものです。使い方はコマンドの前に sudo を付けるだけです。

$ apt update
Reading package lists... Done
E: Could not open lock file /var/lib/apt/lists/lock - open (13: Permission denied)
E: Unable to lock directory /var/lib/apt/lists/

$ sudo apt update
[sudo] password for yuuki:
Hit:1 http://archive.ubuntu.com/ubuntu jammy InRelease
Get:2 http://security.ubuntu.com/ubuntu jammy-security InRelease [110 kB]
...
Reading package lists... Done

1回目は一般ユーザーのまま apt update を実行したため、システム領域を触れず Permission denied で失敗しました。2回目は sudo を付けたことで、パスワード確認のうえ管理者としてコマンドが実行できています。ポイントは、聞かれるのがroot のパスワードではなく「あなた自身のパスワード」である点です。

なぜ sudo は「root で常用する」より安全なのでしょうか。

• 権限が一時的 — 管理者権限になるのはそのコマンドの実行中だけ。終われば一般ユーザーに戻ります。ずっと管理者でいる危険な状態を避けられます。
• 意識的な操作になる — sudo を打つ手間が「今から危険な操作をする」という一呼吸になり、うっかりミスが減ります。
• 誰が何をしたか記録が残る — sudo の使用は /var/log/auth.log などに記録されます(第7章のログ参照)。「誰がいつ管理者操作をしたか」を後から追えます。
• root のパスワードを配らなくてよい — 管理を任せたい人を sudo グループに入れるだけでよく、root のパスワードそのものを共有せずに済みます。

5.4 ユーザーとグループの管理

まずは「今の自分が誰なのか」を確認するコマンドからです。

$ whoami
yuuki

$ id
uid=1000(yuuki) gid=1000(yuuki) groups=1000(yuuki),4(adm),27(sudo),100(users)

whoami は現在のユーザー名だけを返します。id はより詳しく、ユーザーID(uid)、主グループ(gid)、所属している全グループを表示します。上の例では、yuuki さんは sudo グループに入っているので、sudo で管理者操作ができる、と読み取れます。

グループという考え方

グループは、複数のユーザーをまとめて扱うための仕組みです。たとえば「開発チーム」というグループを作り、そのグループに読み書きを許可すれば、メンバー全員が同じファイルを共有できます。一人ずつ許可を設定するより、ずっと管理が楽になります。所属グループの確認は groups でもできます。

$ groups
yuuki adm sudo users

ユーザーを作る・パスワードを設定する

新しいユーザーの作成には useradd(低レベル)と adduser(対話的で親切)の2つがあります。Debian系では adduser のほうが、ホームディレクトリ作成やパスワード設定まで案内してくれて便利です。いずれも管理作業なので sudo が必要です。

$ sudo adduser sato
Adding user `sato' ...
Adding new group `sato' (1001) ...
Adding new user `sato' (1001) with group `sato' ...
Creating home directory `/home/sato' ...
Copying files from `/etc/skel' ...
New password:
Retype new password:
passwd: password updated successfully
...

低レベルな useradd を使う場合は、ホームディレクトリを同時に作る -m を付けるのが定番です。パスワードは別途 passwd で設定します。

$ sudo useradd -m tanaka
$ sudo passwd tanaka
New password:
Retype new password:
passwd: password updated successfully

ユーザーをグループに追加する(usermod)

作ったユーザーに管理者権限を与えたい(=sudo を使えるようにしたい)場合は、sudo グループに追加します。usermod -aG の -a は「追加(append)」、-G は「補助グループ」を意味します。-a を付け忘れると既存の所属グループが上書きされてしまうので注意してください。

$ sudo usermod -aG sudo sato
$ groups sato
sato : sato sudo

これで sato さんも sudo グループに入り、管理者操作ができるようになりました(反映には一度ログインし直す必要があります)。

ユーザーとグループの正体は「テキストファイル」

Linuxらしいのは、ユーザーやグループの情報が特別なデータベースではなくただのテキストファイルに書かれている点です。中身を見てみましょう(パスワードは別ファイルに暗号化して保存されるので、ここには出ません)。

$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
yuuki:x:1000:1000:Yuuki Sato,,,:/home/yuuki:/bin/bash
sato:x:1001:1001:,,,:/home/sato:/bin/bash

$ cat /etc/group
root:x:0:
sudo:x:27:yuuki,sato
yuuki:x:1000:
sato:x:1001:

/etc/passwd の1行は ユーザー名:x:UID:GID:説明:ホーム:ログインシェル という形式です。root の UID が 0 であること、yuuki の UID が 1000 であることが読み取れます。/etc/group を見ると、sudo グループに yuuki と sato が入っているのが分かります。「設定はテキストで見て理解できる」——これはLinuxを扱ううえでの大きな安心材料です。

5.5 パーミッションの読み方

ここからがこの章の核心です。第4章で使った ls -l の左端に並ぶ文字列こそがパーミッション(アクセス権)です。

$ ls -l
total 12
-rwxr-xr--  1 yuuki  dev   220 Jul  8 10:30 backup.sh
drwxr-xr-x  2 yuuki  dev  4096 Jul  8 10:31 logs
-rw-------  1 yuuki  yuuki  1675 Jul  8 10:32 id_rsa

先頭の -rwxr-xr-- のような10文字を分解して読めるようになりましょう。この10文字は「1 + 3 + 3 + 3」の4ブロックに分けて考えます。

各ブロックの3文字は、いつも r w x の順で並び、その権限が「ある」なら文字、「ない」なら - で表されます。

先ほどの backup.sh の -rwxr-xr-- を、対象ごとに読むとこうなります。

• - … 通常ファイル
• rwx … 所有者(yuuki)は 読み・書き・実行 すべて可能
• r-x … グループ(dev)は 読みと実行は可能、書き込みは不可
• r-- … その他の全員は 読みだけ可能

数字での表し方(rwx = 4・2・1)

パーミッションは記号のほかに数字3桁でも表せます。現場ではむしろ数字のほうがよく使われます。仕組みはシンプルで、各権限に重みを割り当てて足し算するだけです。

1ブロック(3文字)ごとに、立っている権限の数値を合計します。たとえば rwx なら 4+2+1=7、r-x なら 4+0+1=5、r-- なら 4 です。これを所有者・グループ・その他の順に3桁並べます。

この 755 644 600 の3つは、実務で毎日のように目にする「定番」です。丸暗記してしまってかまいません。

5.6 パーミッションの変更 — chmod と chown

chmod で権限を変える

パーミッションの変更には chmod(change mode)を使います。指定方法は数値形式と記号形式の2通りです。まず数値形式です。

$ ls -l report.txt
-rw-rw-rw- 1 yuuki yuuki 320 Jul  8 11:00 report.txt

$ chmod 644 report.txt
$ ls -l report.txt
-rw-r--r-- 1 yuuki yuuki 320 Jul  8 11:00 report.txt

chmod 644 で「所有者は読み書き、グループとその他は読みだけ」に整えました。次に記号形式です。u(所有者)g(グループ)o(その他)a(全員)に対し、+(付与)-(剥奪)=(指定どおりに設定)で調整します。

$ ls -l backup.sh
-rw-r--r-- 1 yuuki yuuki 210 Jul  8 11:05 backup.sh

$ chmod u+x backup.sh
$ ls -l backup.sh
-rwxr--r-- 1 yuuki yuuki 210 Jul  8 11:05 backup.sh

chmod u+x で「所有者に実行権を追加」しました。スクリプトを実行可能にする典型的な操作です。「その他から書き込みを外す」なら chmod o-w、「全員に読みを付ける」なら chmod a+r のように書きます。数値形式は権限を丸ごと指定し直すのに向き、記号形式は今ある状態に少しだけ足し引きするのに向いています。

chown で所有者を変える

ファイルの所有者やグループを変更するのが chown(change owner)です。他人の所有物にすることは通常できないため、多くの場合 sudo が必要になります。書式は chown 所有者:グループ 対象 です。

$ ls -l app.log
-rw-r--r-- 1 root root 0 Jul  8 11:10 app.log

$ sudo chown yuuki:dev app.log
$ ls -l app.log
-rw-r--r-- 1 yuuki dev 0 Jul  8 11:10 app.log

所有者を root から yuuki に、グループを dev に変更できました。ディレクトリ以下をまとめて変えたいときは、第4章でも登場した再帰オプション -R を付けて sudo chown -R yuuki:dev /var/www/myapp のようにします。グループだけ変えたいなら chgrp という専用コマンドもあります。

5.7 実務での勘所

コマンドが分かったところで、「実際にどう設定するのが正しいのか」という現場の勘所を押さえましょう。

• 鍵ファイルは 600 — SSHの秘密鍵(~/.ssh/id_rsa)や証明書の秘密鍵、パスワードを含む設定ファイルは、必ず本人だけが読める 600 にします。他人が読めてはいけない情報だからです。
• 公開して読ませたいファイルは 644、ディレクトリは 755 — Webサーバーが配信するファイルやスクリプトはこの組み合わせが基本。「所有者は編集でき、他は読む(通り抜ける)だけ」という安全な形です。
• 実行させたいスクリプトは 755(または 750) — 実行権 x が必要です。ただし全員に実行させる必要がなければ、その他の実行権を外した 750 のほうが安全です。
• 777 は原則使わない — 次で詳しく説明します。

まとめ

• Linuxは複数人での利用を前提としたマルチユーザーOSで、だからこそ権限の仕組みが不可欠
• root は何でもできる管理者で危険。普段は一般ユーザーで作業する(最小権限の原則)
• sudo はコマンド1回だけ管理者権限を借りる仕組みで、記録が残り事故を減らせる
• id / whoami / groups で自分の権限を確認、adduser / useradd / passwd / usermod で管理。実体は /etc/passwd と /etc/group
• パーミッションは 種類 + 所有者rwx + グループrwx + その他rwx。r=4・w=2・x=1 の合計で数値化(755 644 600 が定番)
• chmod で権限、chown で所有者を変更。鍵は 600、777 は原則使わない

練習問題