chmod・chown実践ガイド：権限トラブルを即解決

ls -l deploy.sh
# -rwxr-xr-- 1 furuya developers 2048 Mar 23 10:00 deploy.sh

bash: ./deploy.sh: Permission denied

# 所有者: rwx、グループ: r-x、その他: r-x
chmod 755 deploy.sh

# 所有者: rw-、グループ: r--、その他: r--
chmod 644 config.yaml

# 所有者: rwx、グループ: ---、その他: ---
chmod 700 ~/.ssh

# 所有者: rw-、グループ: rw-、その他: ---
chmod 660 shared-log.txt

# 全員に実行権限を追加
chmod a+x deploy.sh

# グループとその他から書き込み権限を削除
chmod go-w config.yaml

# 所有者にフルアクセス、それ以外に読み取り+実行を設定
chmod u=rwx,go=rx deploy.sh    # chmod 755 と同じ

# グループだけに書き込み権限を追加
chmod g+w shared-project/

# ディレクトリを755、ファイルを644に設定 — Webサーバーの標準
chmod -R 755 /var/www/32blog/

# でもこれだとファイルまで実行可能になる。正しい方法:
find /var/www/32blog -type d -exec chmod 755 {} +
find /var/www/32blog -type f -exec chmod 644 {} +

# スクリプトを実行可能にする
chmod +x scripts/deploy.sh

# SSH鍵を保護（権限が緩いとSSHが鍵を拒否する）
chmod 600 ~/.ssh/id_ed25519
chmod 644 ~/.ssh/id_ed25519.pub
chmod 700 ~/.ssh

# Webアプリのファイル
find /var/www/app -type d -exec chmod 755 {} +
find /var/www/app -type f -exec chmod 644 {} +

# グループメンバーが書き込める共有ディレクトリ
chmod 775 /opt/shared-project/

# その他のアクセスを完全に遮断
chmod o= sensitive-data/

# 所有者だけ変更
sudo chown deploy deploy.sh

# 所有者とグループを同時に変更
sudo chown deploy:www-data /var/www/32blog/

# グループだけ変更（コロンの前を省略）
sudo chown :www-data /var/www/32blog/index.html

# chgrpでも同じことができる
sudo chgrp www-data /var/www/32blog/index.html

sudo chown -R deploy:www-data /var/www/32blog

# ディレクトリツリー全体の所有者とグループを変更
sudo chown -R deploy:www-data /var/www/32blog/

# グループだけ再帰的に変更
sudo chown -R :developers /opt/project/

# 変更内容を表示（verboseモード）
sudo chown -Rv deploy:www-data /var/www/32blog/

# reference.conf と同じ所有者・グループに合わせる
sudo chown --reference=reference.conf target.conf

# リンク先の所有者が変わる
sudo chown deploy:www-data /var/www/current

# シンボリックリンク自体の所有者が変わる
sudo chown -h deploy:www-data /var/www/current

ls -l /usr/bin/passwd
# -rwsr-xr-x 1 root root 68208 Mar 23 10:00 /usr/bin/passwd

# setuidビットを設定
chmod u+s /usr/local/bin/my-tool

# 数値指定（先頭に4をつける）
chmod 4755 /usr/local/bin/my-tool

# setuidを削除
chmod u-s /usr/local/bin/my-tool

# 共有プロジェクトディレクトリを作成
sudo mkdir /opt/team-project
sudo chown :developers /opt/team-project
sudo chmod 2775 /opt/team-project

# 中で作ったファイルは自動的に developers グループになる
touch /opt/team-project/notes.txt
ls -l /opt/team-project/notes.txt
# -rw-rw-r-- 1 furuya developers 0 Mar 23 10:00 notes.txt

# ディレクトリのsetgidを確認
ls -ld /opt/team-project
# drwxrwsr-x 2 root developers 4096 Mar 23 10:00 /opt/team-project
#      ^ この 's' がsetgid

ls -ld /tmp
# drwxrwxrwt 15 root root 4096 Mar 23 10:00 /tmp
#          ^ この 't' がスティッキービット

# スティッキービットを設定
chmod +t /opt/shared-uploads/

# 数値指定（先頭に1をつける）
chmod 1777 /tmp

# スティッキービットを削除
chmod -t /opt/shared-uploads/

# setuidファイルを全検索
find / -perm -4000 -type f 2>/dev/null

# setgidファイルを全検索
find / -perm -2000 -type f 2>/dev/null

# 両方
find / -perm /6000 -type f 2>/dev/null

# 現在のumaskを確認
umask
# 0022

# シンボリック形式で確認
umask -S
# u=rwx,g=rx,o=rx

# 現在のセッションのumaskを設定
umask 027

# テスト
touch test-file
mkdir test-dir
ls -l test-file    # -rw-r----- (640)
ls -ld test-dir    # drwxr-x--- (750)

# bashの場合
echo "umask 027" >> ~/.bashrc

# zshの場合
echo "umask 027" >> ~/.zshrc

# システム全体（全ユーザー）
echo "umask 027" >> /etc/profile

# Webルートを作成
sudo mkdir -p /var/www/32blog
sudo chown -R deploy:www-data /var/www/32blog

# 権限を設定
find /var/www/32blog -type d -exec chmod 2755 {} +
find /var/www/32blog -type f -exec chmod 644 {} +

# アプリが書き込む必要があるディレクトリ（アップロード、キャッシュ）
chmod 2775 /var/www/32blog/.next/cache

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519         # 秘密鍵
chmod 644 ~/.ssh/id_ed25519.pub     # 公開鍵
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/config

# 共有プロジェクトスペースを作成
sudo mkdir -p /opt/projects/32blog
sudo chown -R :developers /opt/projects/32blog
sudo chmod -R 2775 /opt/projects/32blog

# チームメンバーをグループに追加
sudo usermod -aG developers furuya
sudo usermod -aG developers colleague

# よくあるDockerボリュームの権限問題を修正
# コンテナがUID 1000で動くのにホスト側がroot所有の場合
sudo chown -R 1000:1000 ./docker-volumes/

# Dockerfileでの非rootユーザーパターン
# RUN useradd -r -u 1000 appuser && \
#     chown -R appuser:appuser /app

#!/bin/bash
# fix-permissions.sh — 32blogデプロイ後に実行
set -euo pipefail

WEBROOT="/var/www/32blog"
OWNER="deploy"
GROUP="www-data"

echo "所有権を修正中..."
sudo chown -R "${OWNER}:${GROUP}" "${WEBROOT}"

echo "ディレクトリ権限を設定中..."
find "${WEBROOT}" -type d -exec chmod 2755 {} +

echo "ファイル権限を設定中..."
find "${WEBROOT}" -type f -exec chmod 644 {} +

echo "スクリプトに実行権限を付与..."
find "${WEBROOT}/scripts" -name "*.sh" -exec chmod 755 {} +

echo "完了: ${WEBROOT} の権限を修正しました"

# ワールドライタブルなファイルを検索（セキュリティリスク）
find /var/www -perm -o=w -type f 2>/dev/null

# 所有者のいないファイル（ユーザー削除後に残った孤児）
find / -nouser -o -nogroup 2>/dev/null

# 直近24時間に変更されたファイル（インシデント対応）
find /var/www -mtime -1 -type f -ls

# setuid/setgidバイナリの一覧
find / -perm /6000 -type f -ls 2>/dev/null