Linux API. Исчерпывающее руководство

Действующий идентификатор пользователя и действующий идентификатор группы. Эти два идентификатора (в сочетании с рассматриваемыми сразу после них дополнительными идентификаторами групп) используются при определении прав доступа, имеющихся у процесса при доступе к защищенным ресурсам, таким как файлы и объекты обмена данными между процессами. Обычно имеющиеся у процессов действующие идентификаторы содержат те же значения, что и соответствующие им реальные ID. При изменении действующих идентификаторов процессу можно присваивать права доступа другого пользователя или группы, в порядке, который вскоре будет рассмотрен.

Дополнительные идентификаторы группы. Они позволяют определить дополнительные группы, которым принадлежит процесс. Новый процесс наследует свои дополнительные идентификаторы групп от своего родительского процесса. Оболочка входа в систему получает свои дополнительные идентификаторы групп от системного файла групп.

Привилегированные процессы

Традиционно в системах UNIX привилегированным считается процесс, чей действующий идентификатор пользователя имеет значение 0 (привилегированный пользователь, суперпользователь). Такой процесс обходит ограничения прав доступа, обычно применяемые ядром. И наоборот, непривилегированным называется процесс, запущенный другими пользователями. Такие процессы имеют ненулевой действующий UID и должны соблюдать навязываемые ядром правила разрешения доступа.

Процесс может быть привилегированным из-за того, что был создан другим привилегированным процессом, например оболочкой входа в систему, запущенной суперпользователем (root). Еще один способ получения процессом привилегированности связан с механизмом установки идентификатора пользователя (set-user-ID), который позволяет присвоить процессу такой же действующий идентификатор пользователя, как и идентификатор пользователя файла выполняемой программы.

Мандаты (возможности)

Начиная с ядра версии 2.2, Linux делит привилегии, традиционно предоставляемые суперпользователю, на множество отдельных частей, называемых возможностями. Каждая привилегированная операция связана с конкретной возможностью, и процесс может выполнить операцию, только если у него имеется соответствующая возможность. Традиционный привилегированный процесс (с действующим идентификатором пользователя, равным 0) соответствует процессу со всеми включенными возможностями.

Предоставление процессу некоторого набора возможностей позволяет ему выполнять часть операций, обычно разрешенных суперпользователю, не позволяя ему выполнять другие операции такого вида.

Возможности подробно рассматриваются в главе 39. Далее в книге при упоминании конкретной операции, которая может выполняться только привилегированным процессом, в скобках будет указываться конкретная возможность. Названия возможностей начинаются с префикса CAP (например, CAP_KILL).

Процесс init

При загрузке системы ядро создает особый процесс, который называется init, «родитель всех процессов». Он ведет свое происхождение от программного файла /sbin/init. Все процессы в системе создаются (используя fork()) либо процессом init, либо одним из его потомков. Процесс init всегда имеет идентификатор процесса 1 и запускается с правами доступа суперпользователя. Процесс init не может быть уничтожен (даже привилегированным пользователем) и завершается только при завершении работы системы. Основной задачей init является создание и слежение за процессами, требуемыми работающей системе. (Подробности можно найти на странице руководства init(8).)

Процессы-демоны

Демоном называется процесс специального назначения, создаваемый и управляемый системой точно так же, как и другие процессы, но отличающийся от них следующими характеристиками.

• Он долгоживущий. Процесс-демон зачастую запускается при загрузке системы и продолжает свое существование до тех пор, пока работа системы не будет завершена.

• Он запускается в фоновом режиме, и у него нет управляющего терминала, с которого он мог бы считывать ввод или на который он мог бы записывать вывод.

К примерам процессов-демонов относятся syslogd, который записывает сообщения в системный журнал, и httpd, который обслуживает веб-страницы посредством протокола передачи гипертекста — Hypertext Transfer Protocol (HTTP).

Список переменных среды