Ubuntu安全之设置umask 027限制同组用户写权限

在Ubuntu系统中，设置umask值为027是一种非常实用的安全加固手段，它的核心作用是让新创建的文件默认权限为640（rw-r-----），新创建的目录默认权限为750（rwxr-x---），从而阻止同组用户对你的文件拥有写权限。这在多用户服务器环境、共享主机、开发团队协作场景中尤为关键。很多管理员只关注防火墙和SSH配置，却忽略了文件权限这个基础层面的安全隐患，而umask恰恰是从源头控制文件初始权限的第一道防线。

umask（user file-creation mode mask）本质上是一个权限"遮罩"，它从系统默认的最大权限中"减去"不想要的权限。对于文件来说，系统默认最大权限是666（rw-rw-rw-），减去umask值027后得到640；对于目录来说，默认最大权限是777（rwxrwxrwx），减去027后得到750。这个计算方式是按位取反再与运算，理解这一点对后续排查权限问题非常有帮助。

umask的常见取值有022、027、077等，它们各有适用场景。022意味着同组用户和其他用户都有读权限，这是很多发行版的默认值，适合家庭单机或信任环境。077则完全屏蔽同组和其他用户的所有权限，过于严格，在需要协作的场景下不实用。027恰好处于中间平衡点：同组用户可以读和执行（进入目录），但不能写入和删除；其他用户完全没有任何权限。这种设置在Ubuntu服务器上非常推荐，尤其是当你的系统上有多个用户属于同一用户组时。

举个实际例子：假设你的服务器上有用户alice和bob都属于developers组。如果umask是022，alice创建的文件bob可以修改甚至删除，这在生产环境中是巨大的风险。改成027后，bob只能查看alice的文件，无法篡改，有效防止了内部误操作和恶意行为。

如果你只是想在当前会话中测试效果，直接在终端输入以下命令即可：

umask 027

执行后可以用umask命令不带参数查看当前值，确认输出为0027。此时你新建一个文件测试一下：

touch testfile.txt
ls -l testfile.txt

你会看到类似这样的输出：

-rw-r----- 1 youruser yourgroup 0 Jun 10 10:00 testfile.txt

注意权限部分是rw-r-----，也就是640，同组用户（yourgroup）只有读权限，没有写权限。再测试目录：

mkdir testdir
ls -ld testdir

drwxr-x--- 2 youruser yourgroup 4096 Jun 10 10:00 testdir

目录权限750，同组用户可以进入和列出内容，但不能在里面创建或删除文件。这种临时设置只在当前终端会话有效，关闭终端或重新登录后会恢复默认值。

要让umask 027在每次登录时都生效，需要修改系统或用户级别的配置文件。以下是几种可靠的方法，建议根据实际需求选择一种或组合使用。

方法一：修改/etc/login.defs（系统级全局设置）

这个文件控制着系统登录时的默认umask值。用编辑器打开：

sudo nano /etc/login.defs

找到UMASK这一行，通常默认是022，将其改为：

UMASK 027

保存退出。这个修改对所有新创建的用户和所有登录方式（包括SSH、本地登录）都生效。但需要注意，它不会影响已经存在的用户的个性化配置，那些用户如果在自己的profile中设置了umask，会覆盖这个值。

方法二：修改/etc/profile或/etc/bash.bashrc（系统级Shell设置）

如果你希望所有使用bash的用户都应用这个umask，可以编辑：

sudo nano /etc/profile

在文件末尾添加：

umask 027

或者编辑/etc/bash.bashrc，同样在末尾添加相同内容。这两个文件的区别在于：/etc/profile对登录Shell生效，/etc/bash.bashrc对所有交互式bash Shell生效。对于Ubuntu桌面环境，建议两个都加上以确保覆盖全面。

方法三：修改用户级~/.bashrc或~/.profile（针对单个用户）

如果你只想对特定用户生效，比如只对root或某个管理员账号设置，编辑该用户的home目录下的配置文件：

nano ~/.bashrc

在末尾添加：

umask 027

然后执行source ~/.bashrc使其在当前会话立即生效。这种方式最灵活，可以为不同用户设置不同的umask值。

方法四：通过PAM模块设置（更精细的控制）

对于需要更精细控制的场景，可以使用pam_umask模块。编辑/etc/pam.d/common-session：

sudo nano /etc/pam.d/common-session

找到或添加以下行：

session optional pam_umask.so umask=027

PAM方式的优势在于它在会话建立时就设定好umask，比Shell配置文件更早介入，能覆盖更多边缘情况。

修改配置后，务必验证。最简单的方式是注销重新登录，然后执行：

umask

确认输出为0027。接着创建测试文件和目录，用ls -l检查权限是否符合预期。如果发现某些服务进程创建的文件权限不对，那可能是因为该服务有自己的umask设定，需要在服务的启动脚本或systemd unit文件中单独配置。

对于systemd管理的服务，可以在对应的.service文件中添加：

[Service]
UMask=027

然后执行sudo systemctl daemon-reload和sudo systemctl restart 服务名使其生效。这对Nginx、Apache、MySQL等常用服务尤为重要，因为它们运行时创建的文件如果权限过宽，会带来严重安全隐患。

从安全角度看，umask 027解决的是"默认权限过宽"这个根源问题。很多数据泄露事件并非来自外部攻击，而是内部用户无意间修改或删除了不该动的文件。通过限制同组写权限，你实际上是在实施最小权限原则的基础层。

但也要清醒认识到它的局限：umask只控制新创建文件的初始权限，已经存在的文件不受影响。如果你的系统上已经有大量权限为664或775的文件，需要批量修复。可以用find命令批量处理：

find /path/to/files -type f -perm 664 -exec chmod 640 {} \;
find /path/to/dirs -type d -perm 775 -exec chmod 750 {} \;

另外，umask不能替代ACL（访问控制列表）和chmod的精细管理。在复杂的多用户环境中，建议结合ACL使用，比如用setfacl对特定目录设置更细粒度的权限控制。

还有一点容易被忽略：某些程序（如某些FTP服务器、Samba共享）可能有独立的权限配置，不完全遵循系统umask。所以设置umask只是安全加固的一环，不能当作万能药。

为了方便大家快速参考，这里整理一份常用场景的umask推荐：

单机个人使用：022（默认即可，同组可读方便协作）

多用户服务器（同组需协作但防误删）：027（本文推荐的值）

高安全要求环境（同组也不信任）：077（同组和其他用户均无权限）

共享开发环境（需要同组写）：002（同组可读可写，其他用户只读）

Web服务器（防止网站文件被篡改）：027或077，配合服务用户隔离效果更好

在Ubuntu系统上设置umask 027是一项低成本、高回报的安全操作。它不需要安装任何额外软件，不影响系统性能，却能从文件创建的源头堵住一个常见的权限漏洞。最佳实践是：系统级在/etc/login.defs中设置027作为基线，同时在/etc/profile中再次声明确保覆盖；对关键服务通过systemd的UMask指令单独加固；定期用find命令审计现有文件权限；结合ACL和定期权限复查形成完整的权限管理体系。

安全从来不是一次性的配置，而是持续的过程。umask 027是你权限管理工具箱里最基础也最容易被忽视的那把扳手，今天就把它拧紧。