umask ile Varsayılan İzinler

Bir dosya sistemi üzerinde yeni oluşturulan dosya ve dizinlerin hangi izinlerle başlayacağını belirleyen gizli bir ayardır: umask. Bu değer, kullanıcı tarafından değiştirilerek güvenlik politikalarının temelini oluşturur. Ancak umask’ın nasıl çalıştığını ve hangi senaryolarda nasıl uygulanacağını bilmek, hem güvenilirlik hem de iş akışları açısından kritik olur.

• Temel mantık: Her yeni dosya veya dizin için başlangıç izinleri, sistemin izin tablosundan elde edilir ve umask değeri bu başlangıç izinlerinden belirli bitleri sıfırlar. Örneğin, çoğu temel durumda kullanıcı dosyaları için 666 (rw-rw-rw-) başlangıç, dizinler için 777 (rwxrwxrwx) başlangıç izinleri üzerinden hesaplanır ve umask bu değerlerden çıkarılarak son izinler elde edilir.
• Sık kullanılan değerler:
  
  KOD Kopyala

  1umask 0022

  çoğu merkezi yapı için güvenli bir varsayılandır. Bu durumda gruba yazma izni ve diğer kullanıcılara yazma izni kaldırılır; böylece kullanıcılar kendi dosyalarını yazabilir, ancak diğer kullanıcılar dosyaları değiştiremez.
• Neden önemli: Bir sunucuda yanlış umask, istemci dosyalarının yetkisiz erişimine yol açabilir. Özellikle paylaşılan klasörler, web kök dizinleri veya CI/CD süreçlerinde yanlış ayarlar yüzünden servis hesapları zarar görebilir.
• Örnek senaryo: Yeni kullanıcı hesabı için 755’lik dizin izinleri ve 644’lük dosya izinleri güvenli bir başlangıç sağlar. Ancak bu değerler uygulama ihtiyaçlarına göre ayarlanmalıdır. Aynı anda kullanıcı grupları arasındaki paylaşım gereksinimlerini de göz önünde bulundurmalısınız.
• Kalıcılık ve kalibrasyon: Umask değeri genelde kullanıcı oturumunun başında veya servis başlatılırken ayarlanır. /etc/profile, ~/.profile, veya systemd hizmet dosyalarındaki [Service] bölümünde umask değerlerini görmek yaygındır. Sunucu yeniden başlatıldığında bu ayarın korunması için kalıcı konfigürasyonlar kullanılır.
• İzin hesaplama örneği: Başlangıç izinleri 666 (dosya) ve 777 (dizin) olarak düşünülürse, umask 022 ise sonuç dosyada 644, dizinde 755 olur. Umask 077 olduğunda ise dosya 600, dizin 700 gibi daha sıkı bir güvenlik sağlar.
• Pratik konfigürasyon ipuçları:
  
  • Web kök dizinlerinde genelde 755 dizinler ve 644 dosyalar güvenli bir başlangıçtır.
  • Paylaşımlı çalışma alanlarında grubun yazma iznini korumak için 2775 veya 2770 gibi setgid olmak üzere özel maskeler düşünülür.
  • Hizmet hesapları için sadece gerekli minimum izinleri veren umask kullanın: örneğin bir veritabanı arka uç hizmeti için dosya yazma gereksinimi sınırlı olmalıdır.