第6章　パーミッションと所有者

Linuxは複数のユーザーが同じシステムを使うことを前提に設計されています。そのため、ファイルごとに「誰が」「何をできるか」を細かく制御する仕組みがあります。

ls -l の見方

-rwxr-xr--  user user   220  deploy.sh

先頭の10文字がパーミッション（権限）情報です。次の4つのブロックに分かれています。

各3文字は r（read=読む）、w（write=書く）、x（execute=実行する）の有無を表し、権限がない場合は - になります。

ls -l の行に含まれるその他の情報

実機で ls -l を実行すると、権限表記の後ろにもいくつかの情報が続けて表示されます。実際の1行は次のような形になります。

-rwxr-xr--  1 user user   220 Aug 10 09:15 deploy.sh

初心者のうちは先頭の権限部分だけに注目しがちですが、「誰の持ち物で、いつ更新されたか」まで含めて読めるようになると、トラブルシューティングの際に役立ちます。たとえば「昨日デプロイしたはずなのに更新日時が古いままだ」といった気づきは、この欄を見る習慣があってこそ得られるものです。

ディレクトリに対するx権限の意味

ファイルの場合、x（実行権限）は「プログラムとして実行できるか」を意味しますが、ディレクトリに対するxは少し意味が異なり、「そのディレクトリにcdで入れるか、中のファイルの詳細情報にアクセスできるか」を表します。rはあってもxがないディレクトリは、lsでファイル名の一覧は見えても、cdで中に入ったり中のファイルを開いたりすることはできません。逆にxだけあってrがない場合は、ファイル名が分かっていれば中に入れますが、一覧表示はできないという少し変わった状態になります。

この違いはよく「本棚の扉」に例えられます。rだけの本棚は扉のガラス越しに背表紙（ファイル名）だけは見えるけれど扉が開けられない状態、xだけの本棚は扉は開けられるけれど中に何があるか目次（一覧）が見えない状態、というイメージです。実務では「ディレクトリには最低でも r と x をセットで与える」のが基本形になります。

数字で表すパーミッション

r・w・x はそれぞれ 4・2・1 という数値に対応し、その合計で権限を表せます。

これを所有者・グループ・その他の順に3桁並べたものが、chmodでよく見る 755 や 644 という数値です。

$ chmod 755 deploy.sh   # 所有者=rwx, グループ=r-x, その他=r-x
$ chmod 644 memo.txt    # 所有者=rw-, グループ=r--, その他=r--

よく使う権限の組み合わせ

迷ったときの目安として、「実行するファイル（スクリプトやプログラム）には755」「実行しない一般のファイル（設定ファイルやテキスト）には644」「秘密鍵や認証情報など特に守りたいファイルには600や700」と覚えておくと、実務で遭遇するケースの大半をカバーできます。逆に777や666のように「その他」にまで書き込み権限を与える設定は、サーバーが外部からの攻撃を受けたときにファイルを書き換えられてしまうリスクに直結するため、基本的には避けるべき設定だと考えてください。

よくある間違い

• 桁の順番を勘違いする： 3桁は必ず「所有者・グループ・その他」の順です。「自分だけに権限を絞りたい」つもりで 004 のように順序を逆にしてしまうと、逆に自分だけアクセスできなくなってしまいます。
• とりあえず777にしてしまう： 「動かないから777にする」は権限トラブルの応急処置としてよく見られますが、誰でも書き換え・実行できる状態になり非常に危険です。まずは755や644で足りないか確認しましょう。
• ディレクトリのx権限を忘れる： ファイルに644を付けたのに親ディレクトリにxがなく、結局アクセスできない、というのはよくあるつまずきです。ディレクトリにはrとxをセットで意識しましょう。
• chmod 000 で自分自身を締め出す： 誤って所有者からも権限を外してしまうと、一般ユーザーでは元に戻せなくなることがあります（管理者権限があれば復旧できます）。心配なときは ls -l で現在の権限を確認してから変更しましょう。

chown / chgrp — 所有者・グループを変更する

ファイルの所有者やグループを変更するには chown を使います（多くの場合、管理者権限が必要です）。所有グループだけを変更したい場合は chgrp というコマンドも用意されています。

$ chown alice memo.txt        # 所有者をaliceに変更
$ chown alice:staff memo.txt  # 所有者とグループを同時に変更
$ chgrp staff memo.txt        # グループだけをstaffに変更

Web サーバーの設定ファイルなど、特定のプログラム専用ユーザー（例： www-data）が読み書きする必要があるファイルでは、chown で所有者をそのユーザーに合わせておく、という使い方がよくあります。

豆知識： 新しいファイルの既定の権限（umask）

新しくファイルやディレクトリを作成すると、何もしなくてもある程度の権限が最初から設定されています。この既定値をコントロールしているのが、実機の umask（ユーザーマスク）という設定です。多くのLinux環境では、umaskの既定値は 022 に設定されており、その結果、新しく作られるファイルは 644、新しく作られるディレクトリは 755 になることが一般的です。umaskは「本来与えられるはずの権限から、どれだけ差し引くか」を表す値で、chmodのように直接権限を指定する数値とは考え方が逆になっている点に注意しましょう。

具体的には、ファイルの最大権限である666（実行権限は自動では付与されないため、rwx合計の777ではなく666が基準になります）から、umaskの値022を桁ごとに差し引くと644になります。同様にディレクトリの最大権限777から022を引くと755になります。実機で現在のumask値を確認したいときは、ターミナルでumaskとだけ入力すると現在の設定値が表示されます。

なぜ「自分のファイルなのにアクセスできない」ことがあるのか

パーミッションの仕組みでもう1つ、初心者が驚きやすい挙動があります。それは、Linuxが権限を判定するのは「所有者→グループ→その他」の順で、たった1回だけということです。「所有者・グループ・その他のどれか1つでも許可されていればアクセスできる」というOR（どれか1つ）の判定ではなく、「自分がこの4つのうちどれに該当するかをまず1つだけ決めて、その枠の権限だけを見る」という判定方法になっています。

具体的には、Linuxはアクセスしてきたユーザーに対して、次の順序でたった1つだけ「立場」を確定させます。

ポイントは、①に該当した時点で判定が確定し、②・③の権限は一切見に行かないという点です。この仕組みが分かると、次のような一見不思議な状況が起こり得ることが理解できます。

$ ls -l script.sh
----rwxrwx  1 user  staff   220  script.sh

この例では、所有者（user）の権限が---（何も許可されていない）ですが、グループとその他にはrwxが与えられています。もし所有者であるuser自身がこのファイルを実行しようとすると、どうなるでしょうか。「グループやその他には実行権限があるのだから、動くはずでは」と思うかもしれませんが、答えはPermission denied（実行できない）です。userはこのファイルの所有者に該当するため、①の時点で判定が確定し、たとえグループやその他により広い権限があっても、そこから先の②・③はいっさい参照されないからです。

パーミッションエラーに出会ったときの考え方

「Permission denied」というエラーは、Linuxを使っていると必ず一度は遭遇します。焦らず落ち着いて、まずls -lで対象ファイルの権限・所有者を確認し、次に自分が「所有者・グループ・その他」のどれに該当するのかを整理しましょう。自分に必要な権限が足りていない場合は、権限を持つユーザー（多くの場合は所有者やroot）に付与を依頼するか、自分がその操作を行う正当な理由があるかを見直すのが基本的な対応の流れです。安易に777にして問題を回避しようとせず、原因を切り分ける癖をつけておくことが、セキュリティ意識の高いエンジニアへの第一歩になります。

手を動かす小課題

練習用ターミナルで、次の課題を実際に試してみましょう。答えは見出しをクリックすると表示されます。