GaussDB 100 设置文件权限安全策略
设置文件权限安全策略
GaussDB 100设置目录及文件的权限管理规则，保证文件在使用过程中的安全性。
相关概念
GaussDB 100数据库在安装过程中，会自动对其文件权限（包括运行过程中生成的文件，如日志文件等）进行设置。其权限规则如下：
数据库程序目录的权限为0700。
数据库数据文件目录的权限为0700。
数据库的数据文件、审计日志和其他数据库程序生成的数据文件的权限为0600，运行日志的权限默认不高于0640。
操作系统普通用户不允许修改和删除数据库文件和日志文件。
数据库数据文件目录的zengine.lck文件是防止双实例启动的一个文件锁，zengine进程启动时会锁住这个文件，进程退出时释放。
数据库目录及文件权限
GaussDB 100数据库安装后，程序目录及文件权限如表1所示，数据目录及文件权限如表2所示。
目录或文件 | 权限 | 属性 |
|---|---|---|
app | 700 | 目录 |
app/add-ons | 700 | 目录 |
app/admin | 700 | 目录 |
app/bin | 700 | 目录 |
app/lib | 700 | 目录 |
app/admin/script | 700 | 目录 |
app/admin/script/sql_dialect | 700 | 目录 |
app/add-ons/libpcre.so.1.2.10 | 500 | 文件 |
app/add-ons/libuuid.so.1.0.0 | 500 | 文件 |
app/add-ons/libz.so.1.2.11 | 500 | 文件 |
app/add-ons/liblz4.so.1.8.3 | 500 | 文件 |
app/add-ons/libzstd.so.1.3.5 | 500 | 文件 |
app/admin/script/add_standby_log.sample.sql | 400 | 文件 |
app/admin/script/create_database.sample.sql | 400 | 文件 |
app/admin/script/initdb.sql | 400 | 文件 |
app/admin/script/initplsql.sql | 400 | 文件 |
app/admin/script/initview.sql | 400 | 文件 |
app/admin/script/initwsr.sql | 400 | 文件 |
app/admin/script/readme.md | 400 | 文件 |
app/admin/script/sql_dialect | 700 | 文件夹 |
app/admin/script/sql_dialect/package.xml | 400 | 文件 |
app/admin/script/sql_dialect/ora-dialect.sql | 400 | 文件 |
app/bin/Common.py | 500 | 文件 |
app/bin/Common.pyc | 400 | 文件（运行时动态产生） |
app/bin/GaussLog.py | 500 | 文件 |
app/bin/GaussLog.pyc | 400 | 文件（运行时动态产生） |
app/bin/shutdowndb.sh | 500 | 文件 |
app/bin/sql_process.py | 500 | 文件 |
app/bin/uninstall.py | 500 | 文件 |
app/bin/zctl.py | 500 | 文件 |
app/bin/zencrypt | 500 | 文件 |
app/bin/zengine | 500 | 文件 |
app/bin/zsql | 500 | 文件 |
app/lib/libzeclient.so | 500 | 文件 |
app/lib/libzecommon.so | 500 | 文件 |
app/lib/libzeprotocol.so | 500 | 文件 |
app/package.xml | 400 | 文件 |
目录或文件 | 权限 | 属性 |
|---|---|---|
data | 700 | 目录 |
data/archive_log | 700 | 目录 |
data/cfg | 700 | 目录 |
data/data | 700 | 目录 |
data/dbs | 700 | 目录 |
data/log | 700 | 目录 |
data/protect | 700 | 目录 |
data/trc | 700 | 目录 |
data/zengine.lck | 600 | 文件 |
data/log/audit | 700 | 目录 |
data/log/debug | 700 | 目录（运行时动态生成） |
data/log/oper | 700 | 目录 |
data/log/run | 700 | 目录 |
data/archive_log/* | 600 | 文件（运行时动态生成） |
data/cfg/zengine.ini | 600 | 文件 |
data/cfg/zengine.ini_bak | 600 | 文件 |
data/cfg/zhba.conf | 600 | 文件 |
data/data/user* | 600 | 文件 |
data/data/log* | 600 | 文件（运行时动态生成） |
data/data/temp* | 600 | 文件 |
data/data/cntl* | 600 | 文件 |
data/data/undo | 600 | 文件 |
data/data/system | 600 | 文件 |
data/dbs/zenith_key1 | 600 | 文件 |
data/dbs/zenith_key2 | 600 | 文件 |
data/log/audit/* | 600 | 文件（运行时动态生成） |
data/log/debug/* | 600 | 文件（运行时动态生成） |
data/log/oper/* | 600 | 文件（运行时动态生成） |
data/log/run/* | 600 | 文件（运行时动态生成） |
data/log/zenith_alarm.log | 600 | 文件（运行时动态生成） |
data/log/zenithstatus.log | 600 | 文件（运行时动态生成） |
data/log/zctl* | 600 | 文件（运行时动态生成） |
data/protect/workerstore | 400 | 文件 |
data/protect/privilege | 400 | 文件 |
data/protect/factorstore | 400 | 文件 |
data/protect/gsdb_uds_emerg.server | 600 | 文件 |
data/protect/server.socket | 600 | 文件（运行时动态生成） |
data/trc/* | 600 | 文件 |
建议
GaussDB 100数据库在安装过程中，会自动对其文件权限（包括运行过程中生成的文件，如日志文件等）进行设置，适合大多数情况下的权限要求。如果用户产品对相关权限有特殊要求，建议用户安装后定期检查相关权限设置，确保完全符合产品要求。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69959250/viewspace-3165291/ ，如需转载，请注明出处，否则将追究法律责任。
