上一篇
非管理员也能修改服务器访问权限吗，怎么操作？
非管理员用户通常无法直接修改服务器上不属于自己的访问权限，但存在一些可行的途径和变通方法，具体取决于操作系统、服务配置以及管理员授予的权限。
Linux/Unix 系统下的文件权限修改
修改自己拥有的文件
- 用户对自己拥有的文件或目录可以使用 chmod 更改权限（读、写、执行）。
- 使用 umask 设置默认创建文件的权限掩码。
- 不能修改其他用户的文件，除非通过 sudo 或拥有 CAP_FOWNER 能力。
访问控制列表（ACL）
- 如果文件系统挂载时开启了 ACL 支持，非管理员可以在自己拥有的文件上使用 setfacl 设置额外的用户/组权限。
- 示例：setfacl -m u:username:rwx file 赋予特定用户读写执行权限（仅限文件属主或具 CAP_FOWNER 者）。
通过 sudo 提权
- 如果管理员在 /etc/sudoers 中为用户授予了特定命令的执行权限，用户可以使用 sudo 临时提升权限。
- 常见授权：sudo chmod、sudo chown、sudo setfacl。
- 用户只能执行被授权的命令,不能随意修改所有权限。
Windows 系统下的文件权限修改
使用图形界面（文件属性 安全）
- 右键文件 → 属性 → 安全 → 编辑权限。
- 非管理员只能修改自己拥有权限的文件，或已被授予“修改权限”/“完全控制”权限的文件。
- 修改权限需要“更改权限”或“取得所有权”的 ACE（访问控制项）。
使用 icacls 命令
- 示例：icacls file /grant user:(R,W) 授予用户读取和写入权限。
- 需要拥有文件的“修改权限”或“完全控制”权限,否则命令失败。
通过管理员委派
- 域环境中，管理员可以委派权给特定用户管理某些 OU 或资源。
- 非管理员可在被委派的范围内修改权限。
网络服务访问权限（如 SSH、Web 服务器、数据库）
修改服务配置文件
- 大部分服务配置文件（如 /etc/ssh/sshd_config、/etc/nginx/nginx.conf）需要 root 权限。
- 非管理员可通过 sudo 编辑,或请求管理员修改。
修改数据库用户权限
- 非管理员不能执行 GRANT 语句（除非被授予 GRANT OPTION）。
- 拥有 GRANT OPTION 的用户可以授予自己拥有的权限给其他用户,但不能创建新权限。
请求管理员协助
- 最安全的方式：通过工单、邮件或内部系统向管理员提出权限变更请求。
云平台（如 AWS IAM、阿里云 RAM）
IAM 用户修改自身权限
- 如果管理员在 IAM 策略中允许 iam:ChangePassword、iam:UpdateLoginProfile 等操作,用户可以修改自己的密码或访问密钥。
- 通常不能修改附加到自身的权限策略，除非被授予 iam:PutUserPolicy 等权限（极少见）。
请求管理员更新策略
- 用户可在控制台提交权限变更申请，由管理员审核后更新 IAM 策略或角色。
常见限制与注意事项
| 场景 | 非管理员能否修改 | 典型方法 |
|---|---|---|
| 修改自己文件权限 | 是 | chmod, setfacl, icacls |
| 修改他人文件权限 | 否（除非有 sudo 或 ACE） | 请求管理员 |
| 修改系统服务端口 | 否（通常需要 root） | sudo 或管理员更改 |
| 修改数据库全局权限 | 否（需要 GRANT 权限） | 管理员操作 |
| 云平台 IAM 策略 | 否（除非被特别授权） | 提交工单 |
相关问题与解答
问题1：非管理员如何修改 /etc/shadow 文件的权限？
答：/etc/shadow 文件通常只允许 root 用户读取，非管理员没有直接修改权限，如果用户需要修改自己的密码，可以使用 passwd 命令（该命令以 SUID 方式运行，临时获得 root 权限），如果用户需要修改其他用户密码或文件权限，必须通过 sudo 或联系管理员，直接修改 /etc/shadow 权限极不安全,且会被系统拒绝。
问题2：在没有 sudo 权限的情况下，如何让另一个用户访问我的文件？
答：如果文件属于你，你可以使用 chmod o+r file 或 chmod g+r file 为其他用户或组添加读取权限，也可以使用 setfacl -m u:otheruser:rw file 为特定用户精确授权（需文件系统支持 ACL），如果文件系统不支持 ACL，你只能通过改变文件属组（chgrp）或开放权限给所有用户，注意，chown 你无法使用（需要 root 权限），但你可以将文件放入一个共享目录（如 /tmp）并设置合适权限。
