Como conceder permissões para ler gravar, mas não excluir o arquivo

Desejo dar aos usuários a capacidade de criar arquivos de gravação e leitura em outro diretório de usuários, mas não ter a opção de excluir o arquivo após a criação (o bit não funciona aqui ...), por exemplo:

Eu tenho usuário manager com diretório repository
Eu tenho usuário worker1que precisa gravar arquivos, /manager/repositorymas não pode excluir os arquivos
Eu tenho usuário worker2que precisa gravar arquivos, /manager/repository mas não consigo excluir os arquivos
Eu tenho usuário worker3que precisa gravar arquivos, /manager/repository mas não consigo excluir os arquivos

mas worker 1-2-3não pode excluir os arquivos somente depois de criados managere rootpode excluir os arquivos worker 1-2-3criados.

Eu tentei alguns chowne chmodtruques com a aplicação do bit sticky sem sucesso.

Ao contrário do Windows, não há permissão de exclusão distinta no Unix / Linux. O direito de excluir (ou criar ou renomear) um arquivo está vinculado ao diretório que o contém. Remova a permissão de gravação dos trabalhadores /manager/repository/para negar que os trabalhadores criem, excluam e renomeiem arquivos.

Observe que não é possível permitir a criação de arquivos, mas negar sua exclusão.

Antes de tudo, verifique se a ACL está ativada no seu sistema e execute este comando

setfacl -d -R -m user::rwx,user:worker1:---,user:worker2:---,user:worker3:--- \
/manager/repository

Como funciona

• Este comando dará permissões de leitura, gravação e execução para o proprietário no diretório /manager/repository. Ele revogará todas as permissões para worker1, worker2e worker3.

• Isso dará a outros usuários acesso de leitura e gravação, mas negará o acesso de exclusão.

De man setfacl:

-d, --default
       All  operations  apply to the Default ACL.

-R, --recursive
       Apply operations to all files and directories recursively.

-m, --modify
       Options to modify the ACL of a file or directory.

Para fazer isso com permissões, você precisaria de um sistema com suporte para ACLs semelhantes às ACLs do NFSv4. Por exemplo, no FreeBSD, se o sistema de arquivos estiver montado com a nfsv4aclsbandeira, você poderá:

mkdir testdir
chown manager:worker-group testdir
chmod 775 testdir
setfacl -m group@:D::deny testdir

Negar explicitamente a delete_childpermissão aos membros do worker-groupgrupo.

No entanto, observe que, como os trabalhadores seriam proprietários dos arquivos criados, eles ainda poderiam modificar as ACLs e, concedendo a si mesmos a deletepermissão, teriam precedência sobre a delete_childpermissão do diretório pai e eu não sou. com certeza existe uma maneira de contornar isso (pelo menos nos sistemas de arquivos UFS no FreeBSD). Por exemplo, eles poderiam fazer:

$ touch file
$ rm -f file
rm: file: Operation not permitted
$ setfacl -m owner@:d::allow file
$ rm -f file
$

Para obter permissões de gravação da /manager/repositorypasta. Portanto, todos os usuários que não são root poderão gravar ou excluir os arquivos internos /manager/repository, mas não excluir nenhum arquivo desse diretório.

chmod 755 /manager/repository

podemos modificar os arquivos e pastas, mas não podemos excluir.

Para remover os atributos, execute os seguintes comandos:

Para arquivos:

$ sudo chattr -R -a file.txt

Para diretórios:

$ sudo chattr -R -a dir1/