パーミッションと特殊権限 LinuC101 第8回

新卒インフラエンジニア向けLinuC 101 試験対策シリーズの第8回です。前回は ls -l で「-rw-r–r–」のような表示を何度も目にしました。今回はその意味を本格的に扱います。

パーミッションは Linux のセキュリティの土台です。間違って chmod 777 を打つとサーバーが起動しなくなる、秘密鍵を 644 のままにすると SSH が拒否される、本番設定ファイルの所有権を間違えるとサービスが上がらない。本記事ではこれらを「なぜそうなるか」から理解します。

今ここマップ

LinuC 101 試験対策シリーズ（全12回）

  第1回 Linuxの起動・接続・停止
  第2回 ブートプロセスの仕組み
  第3回 systemdマスター講座
  第4回 プロセス管理とハードウェア基礎
  第5回 仮想マシンとコンテナの基礎
  第6回 パッケージ管理マスター
  第7回 ファイル操作の実践
▶ 第8回 パーミッション・所有者・特殊権限    ← いまここ
  第9回 コマンドライン・リダイレクト・パイプ
  第10回 テキスト処理（grep / sed / awk）
  第11回 vi/vim 入門
  第12回 ディスク・パーティション・ファイルシステム

この記事で身につくこと

1. rwx のシンボリック表記とオクタル表記（例：rw-r--r-- ↔ 644）を相互変換できる
2. chmod でシンボリック方式（u+x）とオクタル方式（755）の両方が使える
3. chown / chgrp で所有者・グループを変更できる
4. umask の意味（新規作成時のマスク）を説明し、現在値を確認・変更できる
5. SUID / SGID / Sticky bit の役割と設定方法を説明できる

第1章：パーミッションは「誰が・何を・どこに」

Linux のパーミッションは 3つの軸で決まります。

• 誰が：所有者（user, u）／ 所有グループ（group, g）／ それ以外（other, o）
• 何を：読む（read, r）／ 書く（write, w）／ 実行する（execute, x）
• どこに対して：ファイル ／ ディレクトリ

これがマトリクスとして組み合わさり、「所有者は読み書き、グループは読みのみ、その他も読みのみ」のような細粒度の制御が可能になります。

誰のために設計するか

• マルチユーザー機の前提：UNIX/Linux は複数人が同じサーバーを使う設計から出発した。誰が何にアクセスできるかの境界線が必須
• 自分の操作事故防止：書ける場所と書けない場所が明確だと、誤って本番設定を上書きしない
• 監査の責任：「あのファイルは誰が読めて、誰が書けたか」を後から説明できる必要がある

第2章：rwx を読む — 9文字＋1の正体

まず演習用ディレクトリを作って、実機で確認します。linuc-almaで実行：

$ rm -rf ~/linuc-perm
$ mkdir -p ~/linuc-perm/{normal,share,private}
$ touch ~/linuc-perm/normal/file{1..2}.txt
$ ls -l ~/linuc-perm/normal/

実行結果：

合計 0
-rw-r--r--. 1 developer developer 0  5月 10 08:03 file1.txt
-rw-r--r--. 1 developer developer 0  5月 10 08:03 file2.txt

左端の -rw-r--r-- がパーミッション部分。10文字（＋ピリオド・プラスは SELinux ラベルや ACL の有無）の意味を分解します。

2.1 ファイル vs ディレクトリで rwx の意味が違う

これが新人の最大の落とし穴。同じ r w x でも、対象がファイルかディレクトリかで意味が変わります。

権限	ファイル	ディレクトリ
r	中身を読める（cat 可）	ファイル一覧を取得できる（ls 可）
w	中身を書き換えられる	配下のファイルを作成・削除・改名できる
x	実行できる（プログラムとして起動）	そのディレクトリを通り抜けられる（cd 可、配下の stat も）

特に注目すべきは ディレクトリへの x。これがないと中身に対して何もできません。読み込み権限（r）があっても、x がないとファイル名は出るがメタデータが取れず、cd もできません。

もう1点、ファイル削除はディレクトリの権限で決まる。中のファイルにいくら r-- をつけても、ディレクトリに w がなければ削除できないし、w があれば削除できてしまいます。

第3章：シンボリック表記とオクタル表記

rwxr-xr-x のような表記を シンボリック表記、755 のような3桁数字を オクタル（8進数）表記と呼びます。試験でも現場でも、両方を即座に変換できる必要があります。

3.1 オクタル変換の作法

3つのビットを 4 / 2 / 1 に対応させる。r=4 / w=2 / x=1。これを所有者・グループ・その他の3組それぞれで足し算して並べる。

所有者         グループ        その他
rwx             r-x             r-x
4+2+1=7         4+0+1=5         4+0+1=5
↓                ↓                ↓
              7   5   5     →  755

3.2 暗算用の頻出パターン表

オクタル	シンボリック	使いどころ
755	rwxr-xr-x	実行ファイル・ディレクトリの一般形
644	rw-r--r--	テキスト・設定ファイルの一般形
700	rwx------	プライベートディレクトリ（~/.ssh）
600	rw-------	秘密鍵（~/.ssh/id_ed25519）
777	rwxrwxrwx	原則禁忌。誰でも何でもできる
666	rw-rw-rw-	誰でも読み書き（一時ファイル等で稀に使う）
500	r-x------	所有者のみ実行可（変更不可）

755 / 644 / 700 / 600 は脊髄反射で出るレベルまで反復してください。

第4章：chmod — パーミッション変更の作法

4.1 オクタル方式

linuc-almaで実行：

$ chmod 600 ~/linuc-perm/normal/file1.txt
$ ls -l ~/linuc-perm/normal/file1.txt

実行結果：

-rw-------. 1 developer developer 0  5月 10 08:03 /home/developer/linuc-perm/normal/file1.txt

オクタル方式は 絶対値の指定。一発で目的の状態にできる反面、現状のビット構成は完全に上書きされます。

4.2 シンボリック方式

linuc-almaで実行：

$ chmod u+x,g+r ~/linuc-perm/normal/file1.txt
$ ls -l ~/linuc-perm/normal/file1.txt

実行結果：

-rwxr-----. 1 developer developer 0  5月 10 08:03 /home/developer/linuc-perm/normal/file1.txt

注目：600（rw-------）の状態に u+x,g+r を適用 → rwxr-----（740）。既存の rw を残しつつ、所有者に x、グループに r を追加しています。

linuc-almaで実行：

$ stat ~/linuc-perm/normal/file1.txt | grep '^Access:'

実行結果：

Access: (0740/-rwxr-----)  Uid: ( 1000/developer)   Gid: ( 1000/developer)

stat はオクタルとシンボリックの両方を併記してくれるので、対応関係を確認するのに便利です。

4.3 シンボリック方式の文法

記法	意味	例
u / g / o / a	誰に対して（user / group / other / all）	chmod a+r file 全員に読み
+	追加	chmod u+x 所有者に実行追加
-	削除	chmod g-w グループから書きを削除
=	絶対指定（既存を上書き）	chmod o=r その他は読みのみ
,	複数指定の連結	chmod u+x,g-w,o=r
X（大文字）	ディレクトリと既に実行可能なファイルにのみ x	chmod -R a+rX dir

4.4 オクタル vs シンボリックの使い分け

• オクタル：「何が何でもこの状態にしたい」（プロビジョニング・初期化スクリプト）
• シンボリック：「現状を残しつつ、特定の権限だけ追加・削除したい」（運用中のファイル）

4.5 chmod 777 は最後の手段、というより禁忌

「動かないから 777 にしてみたら動いた」は技術的なギブアップ宣言です。本来は「どこに read が足りない／write が足りない／x が足りない」を切り分けるべき。第10章のヒヤリハットで、本番で chmod -R 777 / を打ってサーバーがログイン不能になる事例を扱います。

第5章：chown / chgrp — 所有者の変更

chown は所有者（user）と所有グループの変更、chgrp はグループのみの変更。所有者の変更は root 権限が必要です（自分のものを他人にあげると、リソースクオータの抜け穴になるため）。

コマンド	意味
sudo chown user file	所有者のみ変更
sudo chown user:group file	所有者＋グループ同時変更
sudo chown :group file	グループのみ変更（chgrp と同等）
sudo chgrp group file	グループのみ変更
sudo chown -R user:group dir/	再帰的に変更

linuc-almaで実行：

$ sudo chgrp users ~/linuc-perm/share
$ ls -ld ~/linuc-perm/share

実行結果：

drwxr-xr-x. 2 developer users 6  5月 10 08:03 /home/developer/linuc-perm/share

所有者は developer のまま、グループだけが users に変わりました。

第6章：umask — 新規作成時のマスク

6.1 umask の働き

新しくファイル・ディレクトリを作るとき、デフォルトのパーミッションが決まります。これを制御するのが umask。「既定値からビットを引く」動作をします。

• ファイル既定値：666（rw-rw-rw-）
• ディレクトリ既定値：777（rwxrwxrwx）
• 実際のパーミッション = 既定値 – umask

linuc-almaで実行：

$ umask
$ umask -S

実行結果：

0022
u=rwx,g=rx,o=rx

既定の 0022 は「グループとその他から w（=2）を引く」。よって：

• ファイル：666 - 022 = 644 → -rw-r--r--
• ディレクトリ：777 - 022 = 755 → drwxr-xr-x

第2章で確認した既定パーミッションがちょうどこの値です。

6.2 umask を変えて確認

サブシェル (...) 内で umask を上書きすると、その範囲だけで一時的に有効になります。linuc-almaで実行：

$ (umask 077 ; touch ~/linuc-perm/private/secret.txt ; mkdir ~/linuc-perm/private/dir077)
$ ls -l ~/linuc-perm/private/secret.txt
$ ls -ld ~/linuc-perm/private/dir077

実行結果：

-rw-------. 1 developer developer 0  5月 10 08:03 /home/developer/linuc-perm/private/secret.txt
drwx------. 2 developer developer 6  5月 10 08:03 /home/developer/linuc-perm/private/dir077

umask 077 = グループとその他から rwx（=7）を引く。よって：

• ファイル：666 - 077 = 600 → -rw-------
• ディレクトリ：777 - 077 = 700 → drwx------

6.3 umask の使いどころ

• 022（既定）：グループ・その他は読みのみ。一般用途に向く
• 027：グループは読みのみ、その他は何もできない。半閉鎖環境
• 077：自分以外は何もできない。秘密鍵生成時など

恒久的に変更したい場合は ~/.bashrc や /etc/profile に umask 027 等を書く。umask は新規作成時のみに効く。既存ファイルの権限は変わりません。

第7章：特殊権限 — SUID / SGID / Sticky

9ビットの基本権限の上に、3つの特殊ビットが乗ります。これがシステムの根幹で動いている、というのが本章のメッセージです。

7.1 SUID（Set User ID）

実行ファイルに付くと 「実行時にファイル所有者の権限で動く」。最も典型的な例が passwd。

linuc-almaで実行：

$ ls -l /usr/bin/passwd

実行結果：

-rwsr-xr-x. 1 root root 32656  4月 14  2022 /usr/bin/passwd

所有者の x 位置に s があります。これが SUID。所有者は root なので、passwd を実行している間は 一般ユーザーでも一時的に root 権限になります。これが必要な理由は、パスワードハッシュが格納される /etc/shadow が root しか書けないファイルだから。一般ユーザーが自分のパスワードを変更するために、SUID で root に「昇格」する必要があるのです。

• 表示：所有者 x 位置の s（小文字＝x 有り）/ S（大文字＝x 無し）
• 設定：chmod u+s file または オクタルで先頭桁に 4（例：4755）
• 対象：実行ファイルのみ意味がある。スクリプトには Linux 上では効かない（#! 経由の場合）

7.2 SGID（Set Group ID）

SGID はファイルとディレクトリで意味が異なります。

• 実行ファイルに付いた場合：実行時にファイルのグループ権限で動く（SUID のグループ版）
• ディレクトリに付いた場合：そのディレクトリ内に作られるファイルが、ディレクトリのグループを継承する

共有ディレクトリ運用で重要なのは後者。実機で確かめます。linuc-almaで実行：

$ sudo chmod g+s ~/linuc-perm/share
$ ls -ld ~/linuc-perm/share

実行結果：

drwxr-sr-x. 2 developer users 6  5月 10 08:03 /home/developer/linuc-perm/share

グループ x 位置に s が入りました。stat で詳細を見ると：

$ stat ~/linuc-perm/share | grep '^Access:'

実行結果：

Access: (2755/drwxr-sr-x)  Uid: ( 1000/developer)   Gid: (  100/   users)

オクタルが 2755。先頭の 2 が SGID ビットです。

このディレクトリの中にファイルを作って、グループが継承されるか確認します。linuc-almaで実行：

$ touch ~/linuc-perm/share/inherited.txt
$ ls -l ~/linuc-perm/share/inherited.txt

実行結果：

-rw-r--r--. 1 developer users 0  5月 10 08:03 /home/developer/linuc-perm/share/inherited.txt

注目：所有者は developer なのにグループが users。developer ユーザーは users グループに属していないのに、SGID ディレクトリ内に作ったため自動でグループが継承されました。これがチーム共有ディレクトリ運用の主役機能です。

7.3 Sticky bit

Sticky bit は ディレクトリ専用。「そのディレクトリ内のファイルは、所有者と root しか削除・rename できない」という制限を付けます。

第7回で予告した /tmp の正体を見てみます。linuc-almaで実行：

$ ls -ld /tmp

実行結果：

drwxrwxrwt. 10 root root 4096  5月 10 05:44 /tmp

その他の x 位置に t。これが Sticky bit。/tmp は rwxrwxrwx（誰でも書ける）ですが、Sticky bit のおかげで他人のファイルを消せません。これがなければ、誰かが他人の一時ファイルを消してアプリが落ちる、という事故が常態化します。

• 表示：その他 x 位置の t（小文字＝x 有り）/ T（大文字＝x 無し）
• 設定：chmod +t dir または オクタルで先頭桁に 1（例：1777）
• 対象：ディレクトリ専用（ファイルへの効果はモダンなカーネルでは無視される）

7.4 オクタル4桁形式

特殊権限を含めると、オクタルは4桁になります。先頭桁が特殊権限。

先頭桁	意味	例
4	SUID	4755 = SUID + rwxr-xr-x（passwd はこれ）
2	SGID	2755 = SGID + rwxr-xr-x（共有ディレクトリ）
1	Sticky	1777 = Sticky + rwxrwxrwx（/tmp はこれ）
0	特殊権限なし	0644 = 通常ファイル（先頭の0は省略可）

第8章：実機で SUID/SGID/Sticky を見つける

find -perm で特殊権限の付いたファイルを横断検索できます。-4000 は SUID、-2000 は SGID、-1000 は Sticky。- 付きは「少なくともそのビットが立っている」の意味です。

linuc-almaで実行：

$ find /usr/bin -perm -4000 -type f 2>/dev/null | head -8

実行結果：

/usr/bin/mount
/usr/bin/chage
/usr/bin/gpasswd
/usr/bin/newgrp
/usr/bin/umount
/usr/bin/su
/usr/bin/crontab
/usr/bin/fusermount3

su passwd chage gpasswd newgrp mount umount crontab あたりが SUID 持ち。「ユーザーがやるけど中身は root 権限」が必要なコマンド群です。

linuc-almaで実行：

$ find / -maxdepth 2 -perm -1000 -type d 2>/dev/null | head -5

実行結果：

/dev/mqueue
/dev/shm
/tmp
/tmp/.X11-unix
/tmp/.ICE-unix

Sticky 持ちは /tmp のほか /dev/mqueue（POSIX メッセージキュー）、/dev/shm（共有メモリ）。「複数ユーザーが書き込むけど、お互いのものを消されたくない」場所には Sticky が付いている、というパターンが見えます。

第9章：現場での使いどころ

• SSH 秘密鍵の保護：chmod 600 ~/.ssh/id_ed25519 は必須。644 等で開かれていると ssh クライアントが「too open」と拒否する
• Webサーバードキュメントルート：chown -R nginx:nginx /var/www/html、ディレクトリは 755 ファイルは 644。find ... -type f -exec chmod 644 {} + + find ... -type d -exec chmod 755 {} + の組み合わせで一括
• チーム共有ディレクトリ：chown :devteam /shared + chmod 2775 /shared（SGID 付き）。チームメンバーが作ったファイルが自動的に devteam グループになる
• ログファイル：/var/log/messages は root:root 600。一般ユーザーから見えてはいけない情報を含む
• セキュアな umask：~/.bashrc に umask 027 を入れる運用。新規作成ファイルがその他から見えなくなる
• SUID 持ちの定期監査：find / -perm -4000 -type f を週次で実行し、意図しない SUID が増えていないかチェック（攻撃者の足跡として SUID バックドアは典型）

第10章：ヒヤリハット — chmod -R 777 / の悲劇

やってみよう

linuc-alma にログインしている前提で、演習1〜4を順に実行してください。

理解度チェック

○か×で答えてください。回答と解説は次回冒頭で振り返ります。

1. chmod 644 file と chmod u=rw,g=r,o=r file は同じ結果になる。
2. ディレクトリの x 権限は、そのディレクトリへの cd やその配下のファイルに対する stat に必要である。
3. umask の値は既存ファイルの権限にも影響する。
4. /usr/bin/passwd のパーミッション -rwsr-xr-x の s は SGID を表す。
5. /tmp の Sticky bit があるおかげで、他ユーザーが作った一時ファイルを消すことができない。

次回予告

第9回は「コマンドライン・リダイレクト・パイプの基礎」です。> >> < 2> 2>&1 | など記号の意味、標準入力／標準出力／標準エラー出力の概念、tee や xargs の使い方を扱います。本記事までで「ファイルを置き、権限を整える」ところまで来ました。次は「コマンドの出力をどうつなぐか」に進みます。

LinuC 101 試験対策シリーズ 全12回

• 第1回 Linuxの起動・接続・停止：systemctl・login・shutdownの基本
• 第2回 ブートプロセスの仕組み：BIOS/UEFI → GRUB → systemd の流れ
• 第3回 systemdマスター講座:サービス管理・unitファイル・ターゲット
• 第4回 プロセス管理とハードウェア基礎（ps, top, lsblk, lspci, lsusb）
• 第5回 仮想マシンとコンテナの基礎：KVM・Docker・Podman 入門
• 第6回 パッケージ管理マスター：dnf / apt / rpm / dpkg の実践
• 第7回 ファイル操作の実践：cp, mv, find, リンク, FHS
• 第8回 パーミッション・所有者・特殊権限（SUID/SGID/Sticky）（本記事）
• 第9回 コマンドライン・リダイレクト・パイプの基礎
• 第10回 テキスト処理の三種の神器：grep / sed / awk + 正規表現
• 第11回 vi/vim 入門：現場で使えるエディタ操作
• 第12回 ディスク・パーティション・ファイルシステム（fdisk, mkfs, mount, LVM）