ACLとLinuxケーパビリティ

ayaの項目だけを見るとrwですが、名前付き利用者にはmaskも適用されます。所有者の項目とotherはこのmaskの上限対象ではありません。

4・True・Falseです。getfaclでは名前付き利用者にrwと表示されても、effective:r--のように実際の上限が併記される場合があります。設定された項目と有効権限を両方確認します。

ayaは6、グループは4です。maskは上限なので、元のグループ項目にないwを追加しません。一方で、別の名前付き項目が以前からwを持っていれば、その項目も新たに有効になる可能性があります。maskの変更は一人だけに作用する設定ではありません。

4が選ばれます。所有者へ一致した場合はowner項目で判断し、名前付き利用者のより広い権限へ切り替えません。この式は所有者または名前付き利用者に一致する今回の条件に限定した判定です。

True・Falseです。保持して有効化できることと、現在の権限検査で使われることは別です。inheritable・ambient・boundingなどの集合もあり、exec前後の引継ぎには別の規則が適用されます。

ポート80への必要な特権は満たしますが、CAP_DAC_OVERRIDEはFalseです。低位ポート用の権限から、任意のファイルの読書き権限までは得られません。実際のbindはアドレス使用中など別の条件でも失敗するため、Trueは全処理の成功保証ではありません。

計算上の集合にはCAP_NET_BIND_SERVICEだけが残ります。この条件ではファイルのeffectiveフラグが立っており、要求したCAP_CHOWNが欠落するため、capability-dumbバイナリ向けの安全性検査でexecはEPERMになります。付与予定の集合の計算と、実行が許されるかの検査を両方確認します。

False・False・Falseです。ネットワーク用の特権を有効にしても、このファイルを読める根拠にはなりません。さらにLinux Security Moduleなど他の制御もあるため、一つの許可要因を確認しただけで全アクセス制御の結果を断定しないようにします。