chmod सविस्तर: symbolic आणि numeric permissions, folder permissions आणि file कोण delete करू शकतो

By Ravindra Bagale, trainer · LinkedIn · Last updated: 8 October 2026

1. थोडक्यात उजळणी: दहा characters

का. तुम्ही type केलेला प्रत्येक chmod यातली काही characters बदलतो, म्हणून ती एका नजरेत वाचता यायला हवीत.

काय. Amazon Linux वर ec2-user ने बनवलेली नवीन file आणि नवीन folder असे दिसतात:

[ec2-user@ip-172-31-xx-xx ~]$ ls -l
total 4
-rw-rw-r--. 1 ec2-user ec2-user 6 Jan  5 10:15 my.txt
drwxrwxr-x. 2 ec2-user ec2-user 6 Jan  5 10:15 ravi

-rw-rw-r-- डावीकडून वाचा:

1. -: type. - म्हणजे file, d म्हणजे directory.
2. rw-: user (owner), पहिलं नाव, ec2-user.
3. rw-: group, दुसरं नाव. Group मध्ये अनेक members असू शकतात, उदा. ravi आणि ramesh.
4. r--: others, server वरचे बाकी सगळे users.

शेवटचा . हा Amazon Linux चा SELinux marker आहे; त्याकडे दुर्लक्ष करा. Owners, groups, adduser आणि पहिला chmod u-w demo Linux users, groups, sudo आणि file permissions मध्ये आहेत. हा chapter त्याच्या पुढे जातो.

2. Symbolic chmod: कोणाला, + की -, आणि कोणती permission

का. कधी कधी तुम्हाला फक्त एकच गोष्ट बदलायची असते, जसं "group ला write द्या", आणि बाकी सगळं आहे तसंच ठेवायचं. अक्षरं नेमकं तेच करतात.

काय. Symbolic mode चे तीन भाग, एकत्र, space न देता लिहायचे:

1. कोणाला: u user (owner), g group, o others, a तिघंही.
2. काय करायचं: + द्या, - काढून घ्या, = नेमकं set करा (जे लिहिलं नाही ते काढलं जातं).
3. कोणती permission: r, w, x.

सोडवलेली उदाहरणं. प्रत्येक उदाहरण परत -rw-r--r-- पासून सुरू होतं:

chmod u+x my.txt     →  -rwxr--r--
chmod g+w my.txt     →  -rw-rw-r--
chmod o-r my.txt     →  -rw-r-----
chmod a+x my.txt     →  -rwxr-xr-x
chmod u-w my.txt     →  -r--r--r--
chmod u=rw,go=r my.txt  →  -rw-r--r--

1. u+x: आता owner ती चालवू शकतो.
2. g+w: आता group members ती बदलू शकतात.
3. o-r: others ना आता वाचता पण येत नाही.
4. a+x: सगळे चालवू शकतात.
5. u-w: owner सुद्धा बदल save करू शकत नाही (पण owner chmod ने परत देऊ शकतो).
6. =: ते bits नेमके set करतो. File परत rw-r--r-- करायला सोयीचं.

3. एकाच command मध्ये अनेक बदल

का. तीन छोट्या बदलांसाठी तीन वेळा chmod type करणं वेळखाऊ आहे. एकाच वेळी करता येतं.

कसं. दोन पद्धती:

1. वेगवेगळ्या बदलांमध्ये comma, आणि comma नंतर space नाही.
2. एकाच जागी अनेक अक्षरं: group आणि others साठी go, write आणि execute साठी wx.

परत प्रत्येक वेळी -rw-r--r-- पासून (box वर तपासलेलं):

chmod u+x,g+w my.txt   →  -rwxrw-r--
chmod g+wx my.txt      →  -rw-rwxr--
chmod go+x my.txt      →  -rw-r-xr-x
chmod ug+x my.txt      →  -rwxr-xr--
chmod ugo+x my.txt     →  -rwxr-xr-x
chmod a+x my.txt       →  -rwxr-xr-x

ugo आणि a म्हणजे एकच. आणि chmod 664 my.txt नंतर chmod o-r,g-w my.txt केलं की -rw-r----- मिळतं.

Comma नंतर space दिली की command तुटते:

chmod u+x, g+w my.txt
chmod: invalid mode: ‘u+x,’
Try 'chmod --help' for more information.

4. u, g, o न लिहिता chmod +w आणि +x

का. chmod +x script.sh असं + च्या आधी काहीच अक्षर नसलेलं तुम्हाला सारखं दिसेल. मग permission मिळते कोणाला?

काय. u, g, o किंवा a नसेल तर chmod permission सगळ्यांना देतो, फक्त जिथे तुमचा umask अडवतो तिथे सोडून. नवीन files च्या permissions ठरवणारी हीच setting (section 12 मध्ये अजून).

बघा. ec2-user म्हणून (umask 0002) एका read-only file वर:

umask
0002
chmod 444 my.txt
chmod +w my.txt
ls -l my.txt
-rw-rw-r--. 1 ec2-user ec2-user 6 Jan  5 10:15 my.txt

Umask 0002 फक्त others चा w अडवतो, म्हणून owner आणि group ला w मिळाला. Root म्हणून (umask 0022) तोच chmod +w फक्त -rw-r--r-- देतो, कारण 0022 group ला पण अडवतो.

सगळ्यांना w द्यायचा असेल तर a ने स्पष्ट सांगा:

chmod 444 my.txt
chmod a+w my.txt
ls -l my.txt
-rw-rw-rw-. 1 ec2-user ec2-user 6 Jan  5 10:15 my.txt

chmod +x पण याच नियमाने चालतो, पण हे umasks फक्त w अडवतात, म्हणून -rw-r--r-- वर chmod +x my.txt केलं की -rwxr-xr-x, सगळ्यांना x.

काढून घेताना पण तसंच, आणि umask ने काही bits ठेवले तर chmod तुम्हाला सांगतो:

chmod 666 my.txt
chmod -w my.txt
chmod: my.txt: new permissions are r--r--rw-, not r--r--r--

5. Numeric chmod: r = 4, w = 2, x = 1

का. अक्षरं एका वेळी एकच गोष्ट बदलतात. आकडा नऊच्या नऊ bits एकदम, नेमके set करतो. म्हणूनच जवळपास प्रत्येक guide मध्ये chmod 755, chmod 644, chmod 600 दिसतात.

काय. तीन digits: पहिला user साठी, दुसरा group साठी, तिसरा others साठी. प्रत्येक digit म्हणजे एक बेरीज:

1. r = 4
2. w = 2
3. x = 1

म्हणजे 7 = 4 + 2 + 1 = rwx, 6 = 4 + 2 = rw-, 5 = 4 + 1 = r-x, आणि 3 = 2 + 1 = -wx.

6. आकडा वाचणं (decode)

कसं. एका वेळी एक digit घ्या, आणि त्याचे 4, 2, 1 करा:

1. त्यात 4 आहे का? मग r, नाहीतर -.
2. उरलेल्यात 2 आहे का? मग w, नाहीतर -.
3. 1 उरला का? मग x, नाहीतर -.

सोडवलेलं उदाहरण: 645.

1. 6 = 4 + 2 → user साठी rw-.
2. 4 = 4 → group साठी r--.
3. 5 = 4 + 1 → others साठी r-x.

म्हणजे chmod 645 my.txt ने -rw-r--r-x मिळतं. अजून काही, प्रत्येक box वर chmod आणि ls -l ने तपासलेलं:

755 -> -rwxr-xr-x
645 -> -rw-r--r-x
714 -> -rwx--xr--
514 -> -r-x--xr--
555 -> -r-xr-xr-x
000 -> ----------
777 -> -rwxrwxrwx
444 -> -r--r--r--
644 -> -rw-r--r--
600 -> -rw-------
400 -> -r--------

7. गरजेवरून आकडा बनवणं

का. कामावर कोणी "chmod 714" म्हणत नाही. ते म्हणतात "owner ला सगळं, group फक्त चालवू शकेल, others फक्त वाचू शकतील". ते तुम्ही आकड्यात बदलायचं.

सोडवलेलं उदाहरण 1. गरज: user rwx, group --x, others r--.

1. User: 4 + 2 + 1 = 7.
2. Group: 1.
3. Others: 4.
4. उत्तर: chmod 714 my.txt.

सोडवलेलं उदाहरण 2. वरच्यासारखंच, पण user चा write काढून घ्या.

1. User: 4 + 1 = 5.
2. Group आणि others बदलत नाहीत: 1 आणि 4.
3. उत्तर: chmod 514 my.txt.

डोक्यात करून बघायला तीन छोटी उदाहरणं:

1. "फक्त owner वाचू आणि लिहू शकेल" → 6, 0, 0 → 600.
2. "Owner ला सगळं, group ला read आणि run, others ना काहीच नाही" → 7, 5, 0 → 750.
3. "सगळे वाचू शकतील, बदलू कोणीच नाही" → 4, 4, 4 → 444.

8. खास आकडे: 555, 000, 777 आणि 444

काय.

1. 555 = सगळ्यांना r-x: सगळे वाचू आणि चालवू शकतात, बदलू कोणीच नाही.
2. 000 = कोणालाच काहीच नाही.
3. 777 = सगळ्यांना सगळं.
4. 444 = सगळ्यांसाठी फक्त read.

000 owner साठी सापळा नाही. Owner ला file वाचता येत नाही, पण तो कधीही chmod ने परत करू शकतो, आणि root तरीही वाचतो:

chmod 000 my.txt
cat my.txt
cat: my.txt: Permission denied
sudo cat my.txt
hello
chmod 644 my.txt
cat my.txt
hello

Server वर 777 ही वाईट सवय आहे. कोणताही user, किंवा कोणी घुसलेला कोणताही program, 777 file बदलू शकतो, उदा. नंतर root चालवणारा script. File "चालत नसेल" तर सगळं उघडं करण्याऐवजी नेमका कोणता bit कमी आहे ते शोधा. 777 नंतर चांगली दुरुस्ती म्हणजे chmod 644 (किंवा कोणीच बदलू नये असं असेल तर chmod 444).

9. आकडे की अक्षरं?

कधी काय वापरायचं:

1. आकडे जेव्हा शेवटी नेमकं काय हवं ते माहीत असतं: chmod 644 index.html. आधी काहीही असलं तरी नऊच्या नऊ bits set होतात.
2. अक्षरं जेव्हा एकच बदल हवा आणि बाकी तसंच राहायला हवं: chmod u+x my.sh.

उदा. -rw-rw-r-- असलेल्या file वर chmod u+x ने -rwxrw-r-- मिळतं, पण chmod 744 ने -rwxr--r--: आकड्याने group चा w पण काढला.

10. Root च्या files: sudo chmod

का. sudo ने बनवलेली file root ची असते, आणि त्यामुळे तिचा chmod कोण करू शकतो ते बदलतं.

बघा. Root एक छोटा script लिहितो:

sudo nano a.txt
ls -l a.txt
-rw-r--r--. 1 root root 36 Jan  5 10:15 a.txt

File मध्ये दोन ओळी आहेत, #!/bin/bash आणि echo "Hello from a.txt". आता ec2-user म्हणून करून बघा:

chmod 777 a.txt
chmod: changing permissions of 'a.txt': Operation not permitted
./a.txt
-bash: ./a.txt: Permission denied

1. chmod नाकारला, कारण mode फक्त owner (root) किंवा sudo ने root बदलू शकतो.
2. ./a.txt नाकारला, कारण अजून कोणाकडेच x नाही.

बरोबर पद्धतीने दुरुस्त करा, 755 ने, 777 ने नाही:

sudo chmod 755 a.txt
ls -l a.txt
-rwxr-xr-x. 1 root root 36 Jan  5 10:15 a.txt
./a.txt
Hello from a.txt

Root r आणि w चे checks ओलांडतो, पण हा नाही: file चालवायला किमान एक तरी x bit set हवा. 666 file वर root ला सुद्धा Permission denied मिळतं.

11. 766 vs 776 चा प्रश्न

का. Board वर लिहिलं होतं की या root च्या a.txt साठी 766 ने ec2-user ती चालवू शकत नाही पण 776 ने शकतो. विश्वास ठेवण्याऐवजी सोडवून बघूया.

इथे ec2-user कोण? File root root आहे. ec2-user owner नाही, आणि root group मध्येही नाही, म्हणून त्याला others चे bits मिळतात, शेवटचा digit.

1. 766: others = 6 = rw-. x नाही.
2. 776: others = 6 = rw-. तरीही x नाही.

म्हणजे दोन्ही denied. Box वर खऱ्या root root file ने तपासलेलं:

sudo chmod 766 a.txt
./a.txt
-bash: ./a.txt: Permission denied
sudo chmod 776 a.txt
./a.txt
-bash: ./a.txt: Permission denied

776 तेव्हाच चालतो जेव्हा file चा group असा असेल ज्यात ec2-user आहे, कारण मग ec2-user ला मधला digit, 7, मिळतो:

sudo chown root:ec2-user a.txt
sudo chmod 776 a.txt
./a.txt
Hello from a.txt
sudo chmod 766 a.txt
./a.txt
-bash: ./a.txt: Permission denied

याच कल्पनेने 700 आणि 770 पण समजतात: 700 ने फक्त root चालवू शकतो (sudo ./a.txt), आणि 770 ec2-user साठी तेव्हाच चालतो जेव्हा group ec2-user असेल. अजून एक गोष्ट: bash ला script वाचता पण यायला हवा. 711 ने (others ना x आहे पण r नाही) /bin/bash: ./a.txt: Permission denied मिळतं.

12. कोणते आकडे वापरायचे

लक्षात ठेवायला छोटी list:

chmod 400 तुम्ही आधीच EC2 server च्या आत मध्ये बघितलं आहे, Mac वर .pem key lock करताना: others वाचू शकतील अशी private key SSH नाकारतो.

आणि Amazon Linux वर तुमचे defaults? ec2-user ने बनवलेल्या नवीन files आणि folders group साठी थोडे जास्त उघडे येतात:

umask
0002
touch new.txt
mkdir newdir
ls -ld new.txt newdir
-rw-rw-r--. 1 ec2-user ec2-user 0 Jan  5 10:15 new.txt
drwxrwxr-x. 2 ec2-user ec2-user 6 Jan  5 10:15 newdir

1. Files 666 पासून आणि folders 777 पासून सुरू होतात.
2. Umask 0002 others चा w काढतो → files 664 आणि folders 775.
3. Root चा umask 0022 group चा w पण काढतो → 644 आणि 755.

Amazon Linux वर हे safe आहे, कारण प्रत्येक user चा स्वतःचा खाजगी group असतो.

13. Folder permissions: r, w आणि x चा अर्थ वेगळा

का. Folder म्हणजे नावांची एक list. त्याच्या permissions त्या list ला जपतात, आतल्या files च्या content ला नाही. म्हणून तीच अक्षरं वेगळा अर्थ घेतात.

काय.

1. Folder वर r: आतली नावं list करणं (ls).
2. Folder वर w: आत entries create, delete, rename करणं (touch, mkdir, आत cp, mv, rm), आणि ते फक्त x सोबत.
3. Folder वर x: आत जाणं (cd) आणि त्यातून path वापरणं, जसं cat ravi/a.txt.

आधीच असलेली file वाचणं किंवा edit करणं हे file चं काम: cat ला file चा r लागतो, बदल save करायला file चा w, आणि तिथपर्यंत पोहोचायला दोघांनाही folder वर x लागतो. Folder चा w लागत नाही.

14. एकच folder, पाच modes

कसं. दोन files असलेला folder बनवा, मग त्याचा mode बदला आणि काय तुटतं ते बघा. खालचे सगळे outputs box वरचे आहेत:

mkdir ravi
echo hello > ravi/a.txt
touch ravi/aa.txt

उदाहरण 1: 700 (rwx------). List करता येतं, आत जाता येतं, आत बनवता येतं. सगळं चालतं.

उदाहरण 2: 600 (rw-------), x नाही.

chmod 600 ravi
cd ravi
-bash: cd: ravi: Permission denied
ls -l ravi
ls: cannot access 'ravi/a.txt': Permission denied
ls: cannot access 'ravi/aa.txt': Permission denied
total 0
-????????? ? ? ? ?            ? a.txt
-????????? ? ? ? ?            ? aa.txt

r मुळे ls नावं वाचू शकतो, पण x शिवाय files बघू शकत नाही, म्हणून प्रश्नचिन्हं येतात. cat ravi/a.txt पण fail होतो.

उदाहरण 3: परत 700.

chmod 700 ravi
cd ravi
pwd
/home/ec2-user/ravi

उदाहरण 4: 300 (-wx------), r नाही.

chmod 300 ravi
cd ravi
ls
ls: cannot open directory '.': Permission denied
touch new.txt
cat a.txt
hello

cd चालतो (x), ls fail (r नाही), पण touch चालतो (w + x), आणि आधीच माहीत असलेलं नाव उघडतं.

उदाहरण 5: 200 (-w-------), x शिवाय w.

chmod 200 ravi
touch ravi/n2.txt
touch: cannot touch 'ravi/n2.txt': Permission denied
rm ravi/aa.txt
rm: cannot remove 'ravi/aa.txt': Permission denied

नुसता w काहीच करत नाही. Create आणि delete ला w आणि x लागतात. (100 ने, म्हणजे फक्त x, cat ravi/a.txt चालतो पण ls ravi आणि touch fail होतात.)

15. w नसलेला folder: chmod 555

काय. 555 (सगळ्यांना r-x) ने आत जाता येतं आणि list करता येतं, पण काहीच add, remove किंवा rename होत नाही:

chmod 555 ravi
cd ravi
touch rr.txt
touch: cannot touch 'rr.txt': Permission denied
mkdir tata
mkdir: cannot create directory ‘tata’: Permission denied
rm aa.txt
rm: cannot remove 'aa.txt': Permission denied
cp a.txt b.txt
cp: cannot create regular file 'b.txt': Permission denied
mv a.txt c.txt
mv: cannot move 'a.txt' to 'c.txt': Permission denied

पण आतल्या files बदलू शकतात. a.txt rw-rw-r-- आहे, म्हणून तिचा owner ती edit करू शकतो:

echo more >> a.txt
cat a.txt
hello
more

nano a.txt पण नीट save करतो ([ Wrote 2 lines ]). फक्त नवीन file fail होते: nano new.txt save करताना [ Error writing new.txt: Permission denied ] दाखवतो.

16. कोडं: root ची file ec2-user delete करू शकतो का?

प्रश्न. Root /home/ec2-user मध्ये एक file बनवतो. File root root, rw-r--r-- आहे. ec2-user ती sudo शिवाय delete करू शकतो का? Class मधले बहुतेक जण म्हणाले नाही.

उत्तर: हो. Delete करताना file च्या content ला हात लागत नाही. तो folder च्या list मधून एक नाव काढतो, म्हणून ते parent folder ठरवतो, आणि ec2-user चं home त्याचंच आहे, rwx सोबत.

पुरावा 1. तुमच्या home मध्ये:

ls -ld /home/ec2-user
drwx------. 3 ec2-user ec2-user 74 Jan  5 10:15 /home/ec2-user
sudo nano rootwala.txt
ls -l rootwala.txt
-rw-r--r--. 1 root root 10 Jan  5 10:15 rootwala.txt

आतलं बदलणं नाकारलं जातं, कारण तो file चा w आहे, आणि तो फक्त root कडे आहे:

echo more >> rootwala.txt
-bash: rootwala.txt: Permission denied

पण delete चालतो. File लिहिता येत नाही म्हणून rm आधी विचारतो; y द्या:

rm rootwala.txt
rm: remove write-protected regular file 'rootwala.txt'? y
ls rootwala.txt
ls: cannot access 'rootwala.txt': No such file or directory

(रिकामी file असेल तर प्रश्नात regular empty file येतं. rm -f प्रश्न विचारत नाही.)

पुरावा 2. तुम्ही बनवलेल्या folder मध्ये पण तेच:

mkdir myfolder
cd myfolder
sudo nano folderwala.txt
rm folderwala.txt
rm: remove write-protected regular file 'folderwala.txt'? y

आणि root ने बनवलेला folder? sudo mkdir rootwala तुमच्या home मध्ये root root folder बनवतो. त्याच्या आत तुम्ही काहीच बनवू शकत नाही (touch rootwala/x.txt → Permission denied), पण तो रिकामा असेपर्यंत rmdir rootwala ने काढू शकता, कारण त्याचं नाव तुमच्या folder मध्ये आहे. Root ने आत file ठेवली असेल तर त्या file वर rm -r fail होतो.

17. अपवाद: /tmp वरचा sticky bit

का. /tmp हा असा folder आहे जिथे प्रत्येक user files बनवू शकतो, म्हणून सगळ्यांकडे त्यावर w आणि x असतो. वरच्या नियमाने तर कोणीही कोणाच्याही files तिथे delete करू शकेल. Sticky bit ते थांबवतो.

काय. तो शेवटच्या x च्या जागी t म्हणून दिसतो:

ls -ld /tmp
drwxrwxrwt. 25 root root 2220 Jan  5 10:15 /tmp

Sticky bit असेल तर file फक्त तिचा owner, folder चा owner किंवा root delete किंवा rename करू शकतो, file स्वतः rw-rw-rw- असली तरी. Box वर दोन users ने तपासलेलं:

[ec2-user@ip-172-31-xx-xx ~]$ echo hi > /tmp/ec2.txt
[ec2-user@ip-172-31-xx-xx ~]$ chmod 666 /tmp/ec2.txt

[ravi@ip-172-31-xx-xx ~]$ rm /tmp/ec2.txt
rm: cannot remove '/tmp/ec2.txt': Operation not permitted

t नसलेल्या drwxrwxrwx folder मध्ये ravi चा तोच rm चालतो. Sticky bit chmod +t folder किंवा chmod 1777 folder ने लावतात.

18. "मी कुठेही sudo वापरू शकतो": परवानगी असेल तरच

काय. ec2-user sudo चालवू शकतो कारण Amazon Linux ने तसं set केलं आहे. तो wheel group मध्ये आहे, आणि cloud-init ने password शिवायचा एक rule टाकला आहे:

sudo cat /etc/sudoers.d/90-cloud-init-users
...
ec2-user ALL=(ALL) NOPASSWD:ALL

नवीन user ला असं काहीच मिळत नाही:

sudo -l -U ravi
User ravi is not allowed to run sudo on ip-172-31-xx-xx.

म्हणजे admin ने परवानगी दिल्याशिवाय ravi sudo वापरू शकत नाही, उदा. sudo usermod -aG wheel ravi ने. wheel चा rule (%wheel ALL=(ALL) ALL) ravi चा स्वतःचा password पण विचारतो, आणि कोणी sudo passwd ravi ने set करेपर्यंत नवीन user कडे तो नसतो.

19. खरी tip: EC2 Instance Connect सारखं fail होत असेल तेव्हा

20. घरी करायचे tasks

Recap

Samjla ka? Ghari ek folder banva, tyala 700, 600, 300 ani 555 deun bagha, ani root chi file delete karun bagha.

Ravindra Bagale, trainer: linkedin.com/in/ravindra-bagale. User, folder आणि file ची नावं (ravi, ramesh, my.txt, a.txt, rootwala.txt वगैरे) शिकण्यासाठीची उदाहरणं आहेत. Commands आणि messages box वर GNU coreutils, bash आणि nano ने, umask 0002 असलेल्या ec2-user test account वापरून तपासले, आणि Amazon Linux 2023 server च्या settings शी जुळवले (umask 0002, home folder 700, /tmp drwxrwxrwt, cloud-init चा sudoers rule, coreutils 8.32); prompt मधला hostname, dates आणि ls -l मधला /tmp चा size उदाहरण म्हणून आहेत.