Ogni file o directory ha permessi specifici per tre categorie di utenti:

Si possono combinare tre tipi di diritti base:

Nel caso di un file, questi diritti sono di facile comprensione: l'accesso in lettura permette di leggerne il contenuto (incluso farne una copia), l'accesso in scrittura permette di cambiarlo, e l'accesso in esecuzione permette di eseguirlo (che funziona solo se si tratta di un programma).

A directory is handled differently. Read access gives the right to consult the list of its entries (files and directories), write access allows creating or deleting files, and execute access allows “traversal“, the possibility crossing through it (especially to go there with the cd command). Being able to cross through a directory without being able to read it gives permission to access the entries therein that are known by name, but not to find them if you do not know their existence or their exact name.

Tre comandi controllano i permessi associati ad un file:

Ci sono due modi di rappresentare i permessi. Tra questi, la rappresentazione simbolica è probabilmente la più facile da capire e ricordare. Utilizza i simboli lettera descritti in precedenza. È possibile definire i permessi per ogni categoria di utenti (u/g/o), impostandoli in modo esplicito (con = ), aggiungendone (+) o sottraendone (-). Così la formula u=rwx,g+rw,o-r conferisce al proprietario i permessi di lettura, scrittura ed esecuzione, aggiunge i permessi di lettura e scrittura per il gruppo proprietario, e rimuove i diritti di lettura per altri utenti. I permessi non alterati con le aggiunte o sottrazioni fatte da tale comando non vengono modificati. La lettera a, per "all" (tutti), copre tutte le tre categorie di utenti, così che a=rx garantisce a tutte e tre le categorie gli stessi diritti (lettura ed esecuzione, ma non scrittura).

La rappresentazione numerica (ottale) associa ogni permesso ad un valore: 4 per la lettura, 2 per la scrittura e 1 per l'esecuzione. Ogni combinazione di permessi viene associata con la somma delle cifre. I valori vengono quindi assegnati alle diverse categorie di utenti mettendoli in fila nell'ordine consueto (proprietario, gruppo, altri).

Ad esempio, il comando chmod 754 file imposta i seguenti permessi: lettura, scrittura ed esecuzione per il proprietario (perché 7 = 4 + 2 + 1), lettura ed esecuzione per il gruppo (perché 5 = 4 + 1), sola lettura per gli altri. Il numero 0 (zero) significa che non si hanno permessi; così chmod 600 file permette la lettura/scrittura per il proprietario, e nessun diritto per chiunque altro. Le combinazioni di permessi più frequenti sono 755 per le directory e i file eseguibili e 644 per i file di dati.

Per rappresentare i permessi speciali, è possibile anteporre una quarta cifra a questo numero in base allo stesso principio, in cui il bit setuid, il bit setgid e lo sticky bit sono rispettivamente 4, 2 e 1. chmod 4754 assocerà il bit setuid con i permessi descritti in precedenza.

Si noti che l'uso della notazione ottale consente solo di impostare tutti i permessi in una sola volta su un file, non è possibile utilizzarla per aggiungere semplicemente un nuovo permesso, come l'accesso in lettura per il gruppo proprietario, in quanto è necessario tener conto dei diritti esistenti e calcolare il nuovo valore numerico corrispondente.

$ ls test.txt
  -rw-r--r-- 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod u+X test.txt
  $ ls test.txt
  -rw-r--r-- 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod o+x test.txt
  $ ls test.txt
  -rw-r--r-x 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod u+X test.txt
  $ ls test.txt
  -rwxr--r-x 1 daniel daniel 0 18. Nov 01:07 test.txt

Molti file system, come Btrfs, Ext3, Ext4, JFS, XFS etc., supportano l'uso di liste di controllo degli accessi (ACL). Queste estendono le caratteristiche di base della proprietà e dei permessi dei file, descritte nella sezione precedente consentendo un controllo granulare di ogni oggetto (file). Ad esempio: un utente vuole condividere un file con un altro utente che deve poterlo solo leggere, ma non scrivere o modificare.

Per alcuni filesystem l'uso delle ACL è abilitato in modo predefinito (esempi: Btrfs, Ext3, Ext4). Per altri filesystem o vecchi sistemi deve essere abilitato con l'opzione acl del comando mount - nel comando mount direttamente o in /etc/fstab. Nello stesso modo si può disabilitare l'uso della ACL tramite l'opzione noacl di mount. Per i filesystem Ext* si può usare anche il comando tune2fs -o [no]acl /dev/dispositivo per abilitare o disabilitare in modo predefinito l'uso delle ACL. Il valore predefinito per ogni filesystem può essere reperito nelle pagine del manuale omonimo nella sezione 5 (filesystem(5)) o in mount(8).

Dopo aver abilitato le ACL, i permessi possono essere impostati usando il comando setfacl(1), mentre getfacl(1) permette di recuperare le ACL per un determinato percorso. Questi comandi fanno parte del pacchetto acl. Con setfacl si possono anche configurare i nuovi file e directory creati per far sì che ereditino i permessi dalle directory padre. È importante notare che le ACL sono elaborate nell'ordine in cui appaiono e che una voce precedente che si adatta alla situazione ha la precedenza sulle voci successive.

Se un file ha le ACL impostate, l'output del comando ls -l mostrerà un segno più dopo i permessi tradizionali. Quando si usano le ACL il comando chmod si comporta in un modo leggermente differente e umask potrebbe essere ignorato. Maggiori informazioni sono contenute nell'ampia documentazione, ad esempio acl(5).