Access Control List

Sous UNIX, les ACL ne remplacent pas la méthode habituelle des droits. Pour garder une compatibilité, elles s'ajoutent à elle au sein de la norme POSIX 1^re.

Les systèmes de type UNIX n'acceptent, classiquement, que trois types de droits :

• lecture (Read)
• écriture (Write)
• exécution (eXecute)

pour trois types d'utilisateurs :

• le propriétaire du fichier
• les membres du groupe auquel appartient le fichier
• tous les autres utilisateurs

Cependant, cette méthode ne couvre pas suffisamment de cas, notamment en entreprise. En effet, les réseaux d'entreprises nécessitent l'attribut de droits pour certains membres de plusieurs groupes distincts, ce qui nécessite diverses astuces lourdes à mettre en œuvre et à entretenir sous Unix.

L'intervention de l'administrateur est souvent nécessaire pour créer les groupes intermédiaires qui permettront de partager des fichiers entre plusieurs utilisateurs ou groupes d'utilisateurs, tout en les gardant confidentiels face aux autres.

Les ACL comblent ce manque en donnant à n'importe quel utilisateur, ou groupe, un des trois droits (lecture, écriture et exécution), et cela sans limitation du nombre d'utilisateurs à ajouter.

Mac OS X gère les ACL depuis la version 10.4 (Tiger).

Les deux commandes permettant de visualiser les droits ACL et de les modifier sont, sous UNIX :

• getfacl : pour visualiser
• setfacl : pour modifier

Il faut néanmoins avoir ajouté dans le fichier /etc/fstab, en option, "acl".

Les ACL sont implémentés par le système de fichiers NTFS, et prises en charge par Windows NT 4.0 et ses successeurs (Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 10, Windows 11, Windows Server 2008 R2 et Windows Server 2012 R2, Windows Server 2016, Windows Server 2019). Sous NTFS, les ACL peuvent être définis sur des fichiers ou des répertoires et acceptent les types de droits suivants :

• parcours d'un dossier ;
• liste d'un dossier ;
• lecture des méta-données ;
• ajout de fichier ;
• ajout de répertoire ;
• ajout de données à un fichier existant ;
• modification des droits ;
• suppression ;
• lecture ;
• appropriation ;
• exécution.

Ces droits s'appliquent soit à des utilisateurs (réels, virtuels - tel le propriétaire du fichier - ou systèmes), soit à des groupes d'utilisateurs (réels, virtuels ou systèmes). L'application d'un droit à un utilisateur ou à un groupe est nommé ACE. Il est possible d'autoriser ou de rompre l'héritage hiérarchique des ACL entre les différents répertoires, ainsi que de paramétrer le type d'héritage (sur les dossiers, les fichiers, à tous niveaux de profondeur, uniquement le premier, etc.).

Sous les systèmes Windows NT, une distinction supplémentaire est faite entre deux types d'ACL : les listes de contrôle d'accès discrétionnaire (DACL pour Discretionary Access Control List) et les listes de contrôle d'accès système (SACL pour System Access Control List). Les DACL permettent de contrôler les accès aux objets et les SACL permettent de contrôler l'audition (on parle parfois d'ACE d'audit) des accès aux objets. Quand le type d'ACL n'est pas précisé, il s'agit toujours de listes de contrôle d'accès discrétionnaire[1].

Le nouveau système de fichiers, exFAT, proposé depuis le Service Pack 1 de Windows Vista et Windows CE 6 pour remplacer la FAT prend aussi en charge les ACL.