Questão de Sistemas Operacionais — Linux — FGV 2026

Permissões POSIX e ACL no Linux: o papel da máscara

Gabarito: letra C. O usuário analista consegue listar o diretório (ls) porque tem permissão de leitura (r), mas não consegue entrar nos subdiretórios (cd) porque a máscara da ACL (mask::r--) limita as permissões efetivas de todos os grupos e usuários nomeados, removendo o bit de execução (x) — que é justamente o que autoriza atravessar o diretório. Para permitir o acesso, é necessário alterar a máscara para incluir x (ex.: mask::r-x), conforme o funcionamento das ACLs POSIX no Linux.

O controle de acesso em sistemas Linux combina as permissões tradicionais (owner/group/other) com as ACLs (Access Control Lists), que permitem definir permissões específicas para usuários e grupos além do proprietário. No diretório relatorios, as permissões POSIX mostram dr--r-x---+: o + indica que há ACLs estendidas. O getfacl revela a configuração completa:

• user::r-- → dono (root) tem leitura;

• group::r-x → grupo dono (projetos) tem leitura e execução;

• group:projetos:r-- → ACL específica para o grupo projetos (sobrescreve a permissão do grupo dono);

• mask::r-- → máscara da ACL;

• other::--- → demais usuários sem permissão.

A máscara é um componente crucial das ACLs POSIX: ela define o limite máximo de permissões que podem ser concedidas a usuários nomeados e grupos nomeados (incluindo o grupo dono). Na prática, a permissão efetiva de um grupo é a interseção (AND) entre a permissão definida na ACL e a máscara. Assim, mesmo que group:projetos:r-- conceda leitura, a máscara mask::r-- também limita a execução — o usuário analista, membro do grupo projetos, fica com r-- efetivo, sem x.

Para acessar um diretório com cd, o usuário precisa da permissão de execução (x) no diretório. A permissão de leitura (r) permite listar o conteúdo (ls), mas sem x não é possível atravessar o diretório para acessar subdiretórios ou arquivos internos. No cenário, o usuário consegue listar porque tem r, mas não consegue entrar nos subdiretórios porque falta x — exatamente o que a máscara bloqueia.

A solução correta é ajustar a máscara para incluir x, por exemplo setfacl -m m::r-x relatorios. Isso permitirá que o grupo projetos (e qualquer outro grupo nomeado) tenha execução efetiva, desde que a ACL específica também a conceda. Alterar apenas a ACL do grupo projetos para r-x não resolve, pois a máscara continuaria limitando a execução a r--. Alterar a permissão do grupo POSIX para rwx também não resolve, pois a máscara ainda limitaria o grupo dono a r--. Remover as ACLs ou conceder leitura/escrita ao usuário não adiciona o x necessário.

A pegadinha da questão está em confundir a permissão do grupo POSIX com a ACL específica e ignorar o efeito da máscara. Muitos candidatos escolhem a alternativa B, pensando que basta dar x ao grupo projetos, mas esquecem que a máscara é o teto máximo — sem ajustá-la, nenhuma permissão de execução para grupos terá efeito.

Alternativa A — ❌ Incorreta

Alterar a permissão do grupo POSIX para rwx não resolve, pois a máscara da ACL (mask::r--) limita as permissões efetivas do grupo dono a r--. A permissão efetiva é a interseção entre a permissão do grupo e a máscara: rwx AND r-- = r--. Portanto, o usuário continuaria sem x.

Alternativa B — ❌ Incorreta

Alterar apenas a ACL do grupo projetos para r-x também não resolve, pois a máscara mask::r-- continuaria limitando a permissão efetiva a r--. A máscara é o teto máximo: mesmo que a ACL conceda r-x, a máscara corta o x. É necessário ajustar a máscara.

Alternativa C — ✅ Correta ⟵ GABARITO

Alterar a máscara da ACL para incluir x (ex.: mask::r-x) é a solução correta. Com a máscara r-x, a permissão efetiva do grupo projetos (que tem ACL r--) passa a ser r-x, permitindo que o usuário analista execute (cd) nos subdiretórios. A máscara é o mecanismo que controla o limite máximo de permissões para grupos e usuários nomeados.

Alternativa D — ❌ Incorreta

Remover todas as ACLs e manter somente r-- pioraria a situação: sem ACLs, o grupo dono (projetos) teria a permissão POSIX r-x (do group::r-x), mas o usuário analista, sendo membro do grupo projetos, teria r-x — o que até permitiria o cd. Porém, a alternativa diz "manter somente r--", o que removeria o x do grupo, impedindo o acesso. Além disso, remover ACLs não é necessário; o problema é a máscara.

Alternativa E — ❌ Incorreta

Conceder permissão de leitura e escrita ao usuário analista não resolve, pois o problema é a falta de execução (x). Mesmo com rw, o usuário não conseguiria usar cd nos subdiretórios, pois sem x não há permissão de atravessar o diretório.

Gabarito: letra C