imported>Hausdorffraum: Grammatik korrigiert: "in dem" zu "indem" geändert.

2018-08-16T16:37:09Z

Grammatik korrigiert: "in dem" zu "indem" geändert.

Neue Seite

'''Setgid''' ('''Set Group ID''', manchmal auch '''SGID''') ist ein (erweitertes) [[Unix-Dateirechte|Unix-Dateirecht]] für [[Datei]]en oder [[Verzeichnis]]se des [[Unix]]-[[Betriebssystem]]s.
Ausführbare [[Computerprogramm|Programm]]e, bei denen dieses Bit gesetzt ist, werden neben den Rechten des ausführenden [[Benutzer|Benutzers]] zusätzlich mit den Rechten der Gruppe, welcher das Programm gehört, ausgeführt.

Auf manchen Systemen bewirkt das Setgid-Bit bei einem Verzeichnis, dass darin neu angelegte Dateien oder Unterverzeichnisse der Gruppe angehören, der auch das Verzeichnis angehört (statt der Gruppe, zu der der erstellende Benutzer gehört).

== Setzen des SGID-Bits ==
[[Datei:Konqueror file permissions.png|thumb|Mit Dateimanagern kann das Bit per Klick gesetzt werden]]
Mit klassischen [[Unix-Kommando]]s wie <code>[[chmod]]</code> kann das Bit mit einem Aufruf wie
:<code>chmod g+s ''objekt''</code>
gesetzt werden, wobei ''objekt'' für mindestens eine Datei bzw. Verzeichnis steht.

Auch moderne [[Dateimanager]] bieten Möglichkeiten, das Bit graphisch per [[Checkbox]] zu aktivieren/deaktivieren.

== Notation/Anzeige des Bits ==
In der [[Unix-Dateirechte#Oktalnotation|erweiterten Oktalnotation]], die sich vier [[Oktalsystem|Oktalziffern]] bedient, repräsentiert die Addition des Wertes 2 auf die erste Ziffer das gesetzte Setgid-Bit. Eine Datei mit den Rechten <code>0755</code> (in Oktalschreibweise) hat nach Setzen des Setgid-Bits die Rechte <code>2755</code>. Diese Darstellung ist offensichtlich unabhängig davon, ob die Datei für die Gruppe ausführbar ist.

Die [[Unix-Dateirechte#Symbolische_Notation|symbolische Rechtenotation]] hingegen unterscheidet zwischen gesetztem SGID-Bit, indem an der Stelle, die die Gruppenausführbarkeit repräsentiert, statt <code>x</code> ein <code>s</code> und statt <code>-</code> ein <code>S</code> steht. So wird aus <code>rwxr-'''x'''r-x</code> nach Setzen des Setgid-Bits <code>rwxr-'''s'''r-x</code>, aus <code>rw-r-'''-'''r--</code> hingegen <code>rw-r-'''S'''r--</code>.

== Wirkung des gesetzten Bits auf Verzeichnisse ==
Da [[Verzeichnis]]se nicht im herkömmlichen Sinne ausgeführt (executed) werden können, hat das SGID-Bit hier eine besondere Bedeutung. Setzt man hier nämlich das SGID-Bit, werden die Gruppen in den Unterverzeichnissen vererbt.

Das SGID-Bit stellt in dieser Konfiguration kein Sicherheitsrisiko dar, solange es nicht auf Dateien angewendet wird.

== Beispiel ==
Zunächst ohne SGID-Bit:

# ls -l /data/fileshare
drwxrwx--- admin abteilung1 1994-05-23 daten_abteilung1
drwxrwx--- admin abteilung2 1994-05-23 daten_abteilung2
drwxrwx--- admin abteilung3 1994-05-23 daten_abteilung3

(Hinweis zur Bedeutung der Spalten von links nach rechts: Rechte, Besitzer, Gruppe, Datum, Name.)<br />
Werden hier neue Dateien angelegt, wird die primäre Gruppe des gerade angemeldeten Benutzers als Gruppe für eine neue Datei gesetzt.

# ls -l /data/fileshare/daten_abteilung1
-rw-rw---- mueller abteilung1 1994-05-23 datei1.txt
-rw-rw---- wieser abteilung1 1994-05-23 datei2.txt
-rw-rw---- maier abteilung1 1994-05-23 datei3.png

Ist Hr. Maier aber auch Mitglied von ''abteilung2'', können Dateien, die von Hr. Maier erstellt wurden, nicht mehr von den Kollegen aus ''abteilung2'' gelesen werden, da die primäre Gruppe auf ''abteilung1'' gesetzt bleibt.

# ls -l /data/fileshare/daten_abteilung2
-rw-rw---- maier '''abteilung1''' 1994-05-23 maiers_datei.txt
-rw-rw---- berger abteilung2 1994-05-23 datei2.txt
-rw-rw---- berger abteilung2 1994-05-23 datei3.txt

Wenn man aber das SGID-Bit auf die übergeordneten Verzeichnisse setzt, wird die Gruppe vererbt. Dadurch ist es möglich, verschiedene Abteilungen zu verwalten, ohne auf komplexe [[Access Control List|ACLs]] angewiesen zu sein oder Berechtigungen für jedermann vergeben zu müssen.

# find /data/fileshare/* -type d -exec chmod g+s {} \;
(Dieses Kommando sucht nach allen Verzeichnissen und setzt das SGID-Bit)

Wird jetzt eine Datei von Hr. Maier in ''abteilung2'' erstellt, kann diese jetzt auch von den anderen Mitgliedern der ''abteilung2'' bearbeitet werden:
#maier$ touch /data/fileshare/daten_abteilung2/maiers_datei.txt

# ls -l /data/fileshare
drwxrw'''s'''--- admin abteilung1 1994-05-23 daten_abteilung1
drwxrw'''s'''--- admin abteilung2 1994-05-23 daten_abteilung2
drwxrw'''s'''--- admin abteilung3 1994-05-23 daten_abteilung3

# ls -l /data/fileshare/daten_abteilung2
-rw-rw---- maier '''abteilung2''' 1994-05-23 maiers_datei.txt
-rw-rw---- berger abteilung2 1994-05-23 datei2.txt
-rw-rw---- berger abteilung2 1994-05-23 datei3.txt

== Sicherheitsaspekt ==

Obwohl in vielen Situationen sehr nützlich, kann das Setgid-Bit (ähnlich dem [[Setuid]]-Bit) ein hohes [[Computersicherheit|Sicherheit]]srisiko bedeuten, wenn bei Programmen Setgid gesetzt wird, die unsicher programmiert sind.

== Siehe auch ==
* [[Unix-Dateirechte]]
* Weitere erweiterte Dateirechte: [[setuid]], [[Sticky Bit]]

[[Kategorie:Dateiverwaltung]]

[[en:setgid]]

Setgid - Versionsgeschichte

imported>Hausdorffraum: Grammatik korrigiert: "in dem" zu "indem" geändert.