umask通过屏蔽默认权限控制新建文件目录权限，常见值022/002/077对应不同安全场景；应按最小权限原则设普通用户为027、特权账户为077，并通过pam、shell配置等多层确保生效与持续验证。
Linux中Umask（用户文件创建掩码）决定了新创建文件和目录的默认权限，它不是直接设置权限，而是通过“屏蔽”来限制最大权限。系统级Umask默认值若配置不当，可能导致新建文件过度开放（如普通用户创建的文件被组或其他人可读写），成为安全基线中的薄弱环节。
Umask工作原理与常见默认值
Umask是一个三位八进制数（如022、002、077），它从默认最大权限中“减去”对应位：目录默认是777，文件默认是666（因文件无执行位）。例如umask 022时，目录实际权限为777−022=755（rwxr-xr-x），文件为666−022=644（rw-r--r--）。
常见默认值及适用场景：
- 022：多数Linux发行版（如CentOS、RHEL）的用户默认值，平衡可用性与基本安全
- 002：适用于共享工作组环境，允许同组用户修改文件（目录775，文件664）
- 077：高安全场景（如root或敏感服务账户），禁止组和其他人访问（目录700，文件600）
全局Umask设定位置与优先级
Umask可在多个层级设置，生效顺序由近及远：命令行临时设置 > shell启动脚本 > PAM模块 > 系统默认策略。关键配置点包括：
- /etc/bashrc 或 /etc/profile：影响所有bash/sh用户，适合统一基线控制
- /etc/login.defs：通过UMASK参数设定login程序默认值（仅对PAM-aware登录有效）
- /etc/pam.d/common-session（Debian/Ubuntu）或/etc/pam.d/system-auth（RHEL/CentOS）：加载pam_umask.so模块，支持更细粒度控制（如按用户组区分）
注意：/etc/login.defs中的UMASK仅对通过login命令登录的用户生效；SSH免密登录或systemd用户会话可能绕过该设置，需配合shell配置或PAM确保覆盖。
安全基线加固建议
依据等保2.0、CIS Linux Benchmarks等标准，生产环境应避免宽松umask（如000、002），推荐最小权限原则：
- 普通用户统一设为027（目录750，文件640）：允许同组读取，禁止其他用户访问，兼顾协作与隔离
- 特权账户（如root、oracle、mysql）强制设为077，防止敏感配置或数据意外暴露
- 禁用全局000或002（除非明确业务需要），并在配置文件中添加注释说明合规依据
- 通过Ansible或Shell脚本定期检查各用户实际生效umask（grep -r "umask" /etc/profile* /etc/bashrc* 2>/dev/null），并验证登录后umask命令输出是否符合预期
验证与持续监控
加固后需验证真实行为，而非仅检查配置文件：
- 切换目标用户（su - username），运行umask确认数值，再创建测试文件和目录，用ls -l核对权限
- 检查SSH登录、cron任务、systemd用户服务等非交互场景是否继承相同umask（某些环境需在~/.bashrc或/etc/systemd/user.conf中显式设置）
- 将umask合规性纳入主机安全扫描项，例如用OpenSCAP策略检测/etc/login.defs和PAM配置一致性
不复杂但容易忽略——Umask是权限体系的起点，一次合理设定能减少大量后续权限修复成本。
