设置用户组后仍无法访问Let's Encrypt证书？Debian8 Node.js HTTPS权限问题

这问题我帮不少人排查过，核心是你忽略了Unix系统访问文件的前提条件——光给证书文件本身设置组可读权限还不够，你必须拥有路径上每一级目录的执行权限（x），才能到达目标文件并读取它。

为什么上级目录会拦住你？ #

在Unix中，目录的x权限和文件的x权限意义完全不同：

• 对文件来说，x是执行权限；
• 对目录来说，x是进入该目录并访问其中文件/子目录的权限。

你提到证书文件的上级目录都属于root用户，假设这些目录的权限是默认的drwx------（只有root能读、写、进入），那哪怕证书文件给了libretodoapi组640权限，你的用户连走到证书所在目录的资格都没有，更别说读取文件了。

先验证你的路径权限 #

用namei命令可以一次性列出路径上每一级的权限，非常好用：

namei -l /etc/letsencrypt/live/your-domain/fullchain.pem

输出会类似这样：

f: /etc/letsencrypt/live/your-domain/fullchain.pem
drwxr-xr-x root root /etc
drwx------ root root /etc/letsencrypt
drwxr-xr-x root root /etc/letsencrypt/live
drwxr-xr-x root root /etc/letsencrypt/live/your-domain
-rw-r----- root libretodoapi /etc/letsencrypt/live/your-domain/fullchain.pem

这里如果/etc/letsencrypt那一行是drwx------，那就是它拦住了你的用户。

解决步骤 #

1. 给必要目录添加组执行权限

不需要修改目录的所属用户/组（保持root:root更安全），只要给libretodoapi组添加进入目录的权限即可：

# 给letsencrypt根目录添加组执行权限
sudo chmod g+x /etc/letsencrypt
# 给live目录添加组执行权限
sudo chmod g+x /etc/letsencrypt/live
# 给你的域名目录添加组执行权限
sudo chmod g+x /etc/letsencrypt/live/your-domain

2. 验证权限是否生效

切换到libretodoapi用户，尝试读取证书：

su - libretodoapi
cat /etc/letsencrypt/live/your-domain/fullchain.pem
cat /etc/letsencrypt/live/your-domain/privkey.pem

如果能正常输出内容，说明权限设置成功了。

3. 更精细的权限控制（可选）

如果不想给所有组都开放目录权限，可以用setfacl给libretodoapi组单独设置权限：

sudo setfacl -m g:libretodoapi:x /etc/letsencrypt
sudo setfacl -m g:libretodoapi:x /etc/letsencrypt/live
sudo setfacl -m g:libretodoapi:x /etc/letsencrypt/live/your-domain

这种方式不会影响其他用户/组的权限，安全性更高。

额外注意事项 #

• Let's Encrypt证书自动更新后，目录权限通常会保持不变，但如果担心权限被重置，可以在certbot的配置文件/etc/letsencrypt/cli.ini中添加钩子，或者写一个post-update脚本重新设置权限。
• 绝对不要把/etc/letsencrypt的权限改成777，这会导致证书密钥暴露给所有用户，非常危险。

内容的提问来源于stack exchange，提问作者Nijin22