ACL实现部门级文件夹精细化访问的关键是分层控制+默认继承+权限收敛：一、确认存储支持ACL并启用；二、为各部门建独立根目录并设默认ACL；三、用协作组处理跨部门访问；四、定期清理审计ACL。
核心存储上用 ACL 实现部门级文件夹精细化访问，关键不是堆权限，而是分层控制 + 默认继承 + 权限收敛。重点在于让每个部门组只看到、只改到自己该碰的内容，不靠改属主、不靠调 umask、不靠手动 chmod 一遍遍补漏。
一、先确认存储底层支持 ACL
核心存储（如 NAS、Ceph、或挂载的 ext4/XFS 卷）必须在挂载时启用 acl 选项：
- 运行 mount | grep "$(df . | tail -1 | awk '{print $1}')" | grep acl，输出含 acl 才算就绪
- 若无，需检查 /etc/fstab 对应条目，把挂载选项补上 acl（例如：
defaults,acl），再执行 sudo mount -o remount /mnt/storage - 验证方式：对任意测试目录执行 getfacl testdir/，若返回中出现 user::、group::、other:: 三行，说明基础 ACL 已可用
二、按部门建独立根目录并设默认 ACL
不要把所有部门混在一个大目录下硬塞权限。为每个部门建专属根目录（如 /storage/finance、/storage/marketing），然后一次性配置默认 ACL：
- setfacl -d -m g:finance:rwx /storage/finance：财务组对新创建的子目录自动有读写执行权
- setfacl -d -m g:marketing:rx /storage/marketing：市场组只能浏览和进入，不能改内容
- setfacl -d -m o::--- /storage/finance：显式关闭“其他用户”访问，避免权限外泄
- 注意：默认 ACL 只影响新文件/子目录，已有内容需单独处理（见下一步）
三、统一收口协作组与跨部门访问规则
实际业务中常有“财务+IT 共管报表”或“市场+设计共编素材”场景。这时不建议给个人加 ACL，而应建协作组，集中管控：
- 创建系统组：sudo groupadd fin-it-ops，把相关用户加进去：sudo usermod -aG fin-it-ops alice
- 为该组在对应目录设命名 ACL：setfacl -m g:fin-it-ops:rwX /storage/finance/reports/
- 若该目录也需被其他部门只读，再加一条：setfacl -m g:hr:r-X /storage/finance/reports/
- 所有命名 ACL 条目都受 mask 控制，建议设完后跑一次 setfacl --recompute-mask /storage/finance/reports/，避免权限被截断
四、清理与审计不能省
ACL 条目多了容易失效、冲突或被遗忘，必须定期维护：
- 查异常权限：getfacl -R /storage/ | grep -E "user:|group:" | grep -v "finance\|marketing\|fin-it-ops"，快速定位非授权用户/组
- 清空某目录全部扩展 ACL（保留基础权限）：setfacl -b /storage/finance/temp_drafts/
- 备份当前 ACL 策略：getfacl -R /storage/finance > /backup/acl_finance_$(date +%F).txt
- 恢复策略（谨慎操作）：setfacl --set-file=/backup/acl_finance_2026-05-01.txt /storage/finance
不复杂但容易忽略：默认 ACL 设了之后，一定要用目标部门用户身份新建一个文件或子目录，再用 getfacl 看它是否真带上了对应组的权限条目——这才是验证生效的唯一标准。
