端点管理指南：用于 UNIX › 保护文件和程序 › 限制对文件和目录的访问 › 限制文件访问 › 阻止文件访问

阻止文件访问

有时，定义没有所有者的 FILE 记录很方便。 要使用 selang 定义没有所有者的 FILE 记录，请使用特殊所有者“nobody”。

例如，要将文件 /tmp/binary.bkup 定义为受保护文件并阻止所有用户访问该文件，请输入以下 selang 命令：

newres FILE /tmp/binary.bkup owner(nobody) defaccess(N)

该 newres 命令确保即使是定义该命令的用户（无论是否为 root 用户）也不能访问该文件。 阻止所有用户访问文件后，通常您必须显式授权一个或多个用户访问该文件。

要显式允许某个用户访问受保护文件，请使用 authorize 命令。 例如，要授予用户“userJo”对 /tmp 目录中以 Jo 开头的所有文件的更新访问权限，请输入以下命令：

authorize FILE /tmp/Jo* uid(userJo) acc(Update)

注意：CA ControlMinder 只保护在其数据库中定义的文件。