安全加固65 条

umask 权限掩码策略配置

umask 决定新建文件/目录的默认权限：022 给同组只读、027 屏蔽同组写与他组全部；加固基线常要求 027，配置位置与生效范围要分清。

查看与临时设置

umask                          # 查看当前值（如 0022）
umask 027                      # 仅当前 shell
touch /tmp/umask_test && ls -l /tmp/umask_test   # 验证结果：640

# /etc/profile.d/umask.sh
umask 027
# 登录类程序另读 /etc/login.defs：
UMASK 027
# 使两者一致后重新登录验证

umask	文件权限	目录权限	场景
022	644	755	传统默认
027	640	750	安全加固常见基线
077	600	700	敏感账户

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌