AIX系统如何授权sftpusr删除CBSINTERFACE目录下Oracle生成文件

这是POSIX文件系统权限的典型认知偏差：

• 删除文件的本质是修改父目录的目录条目，不需要对目标文件本身持有写权限，基础权限要求是对父目录持有写+执行权限
• 若父目录开启了粘滞位（sticky bit，权限位最后一位显示为t），即便用户对目录有写权限，也仅能删除自身作为属主的文件，除非用户是目录属主或root。这就是你给sftpusr配置目录权限后仍无法删除文件的核心原因：CBSINTERFACE目录默认开启了粘滞位，Oracle生成的文件属主为Oracle运行账号（通常为oracle），sftpusr不是文件属主，被粘滞位规则拦截。

以下操作均需使用root账号执行，命令中/path/to/CBSINTERFACE请替换为你环境中目录的实际绝对路径。

方案1：配置POSIX ACL授权（最推荐，不改动现有业务权限模型，风险最低） #

AIX默认使用的JFS2文件系统原生支持POSIX ACL，可单独给sftpusr授予目录操作权限，同时配置默认规则让后续新生成的文件自动继承权限，无需修改Oracle侧配置：

1. 先确认目录当前权限与粘滞位状态：
   ls -ld /path/to/CBSINTERFACE
   若输出的权限串最后一位为t，即可确认粘滞位生效。
2. 为目录配置ACL规则，覆盖存量与新增文件：

# 给sftpusr授予目录读写执行、删除子项权限，同时配置默认ACL让新文件自动继承
setfacl -m u:sftpusr:rwx,d:u:sftpusr:rwx /path/to/CBSINTERFACE
# 给目录下已存在的存量业务文件补授权
setfacl -m u:sftpusr:rw- /path/to/CBSINTERFACE/*

3. 权限验证：切换到sftpusr账号，任选一个Oracle生成的存量文件执行rm操作，确认可正常删除即可。

注意：带d:前缀的默认ACL规则会对目录下后续新建的所有文件、子目录自动生效，无需每次新文件生成后重复配置。

方案2：调整目录属组+SetGID继承（适合无ACL使用规范的环境） #

通过统一属组的方式打通权限，无需额外配置ACL：

1. 新建专属业务组，将Oracle运行账号、sftpusr都加入该组：

mkgroup sftp_cbs_grp
chuser groups=sftp_cbs_grp oracle
chuser groups=sftp_cbs_grp sftpusr

2. 调整目录属组与权限，开启SetGID、关闭粘滞位：

chgrp sftp_cbs_grp /path/to/CBSINTERFACE
chmod 2770 /path/to/CBSINTERFACE
chmod o-t /path/to/CBSINTERFACE

权限位中第一位2代表SetGID位，开启后目录下新生成的文件会自动继承目录的属组，无需手动修改。

3. 调整Oracle账号的umask为007，确保其生成的新文件默认给属组开放读写权限：可在Oracle服务启动脚本开头添加umask 007，或修改/etc/security/user中oracle用户对应的umask配置实现永久生效。
4. 批量修改存量文件的属组：chgrp sftp_cbs_grp /path/to/CBSINTERFACE/*

方案3：配置Sudo白名单（最小改动，适合权限管控严格的生产环境） #

如果不允许调整目录、文件的原生权限，可通过sudo给sftpusr开放指定路径的删除权限：

1. 执行visudo编辑sudo规则，添加如下行：
   sftpusr ALL=(ALL) NOPASSWD: /usr/bin/rm /path/to/CBSINTERFACE/*
2. 调整SFTP拉取脚本中的删除逻辑，删除文件时命令前加sudo前缀即可。

注意：配置sudo规则时不要在路径中添加多余通配符，避免规则越权匹配到其他目录的文件。

• 不要直接给CBSINTERFACE目录设置777权限，会带来极大的未授权访问风险
• 不要将sftpusr加入dba、oinstall等Oracle专属高权限用户组，避免引发数据库安全风险
• 若使用ACL方案，先确认文件系统挂载时未添加noacl参数，AIX默认JFS2文件系统均开启ACL支持

内容的提问来源于stack exchange，提问作者user1717327