Linuxで新しいファイルやディレクトリを作成すると、自動的に「読み取り」「書き込み」「実行」といった権限が割り当てられます。この割り当てをコントロールする仕組みが umask（ユーザーマスク）です。普段は意識しなくても動いていますが、適切に設定していないと「誰でも読み書きできるファイルができてしまう」といったセキュリティリスクにつながることもあります。
本記事では、umaskの基本的な仕組みから確認方法、計算方法、具体的な設定手順までを分かりやすく解説します。実務でよく使われるumask値の例や、開発環境・本番環境での活用方法も紹介するので、日常的にサーバーを扱う方やLinuxを学び始めた初心者の方にも役立つ内容です。
umaskとは何か
デフォルト権限の仕組み
Linuxでは、新しいファイルやディレクトリを作成したときに自動的に権限（パーミッション）が割り当てられます。例えば、誰が読み取りできるか、誰が書き込みできるか、といったルールが最初から決まっているわけです。この「初期状態の権限」を調整する仕組みが umask です。
ファイルのデフォルト権限は、通常以下の値から始まります。
- ファイル: 666（すべてのユーザーに読み取り・書き込み可能）
- ディレクトリ: 777（すべてのユーザーに読み取り・書き込み・実行可能）
ただし、このままではセキュリティ的に危険なので、umaskによって不要な権限を削り、安全な状態にしています。
umaskの基本的な役割
umaskは「付与される権限を決める」のではなく、「不要な権限を取り除く」ために使われます。たとえば、umask値が 022 の場合、グループとその他ユーザーに「書き込み権限」を与えない設定になります。結果として、ファイルは644、ディレクトリは755という形で作成され、所有者以外は書き込みできない安全な状態になります。
つまり、umaskは セキュリティを担保するためのフィルター のような役割を果たしており、チームでの作業や公開サーバーの管理に欠かせない重要な設定です。
umaskの確認方法
現在のumask値を調べる
今の環境でどのようなumaskが設定されているかを確認するには、単純に umask コマンドを実行します。
$ umask
0022
このように表示されれば、現在のumask値が「022」であることが分かります。値は8進数で表されており、それぞれ「所有者」「グループ」「その他」に対する権限を削る設定です。
また、オプションを付けることでシンボリック形式での確認も可能です。
$ umask -S
u=rwx,g=rx,o=rx
この表示は、所有者には読み・書き・実行を許可し、グループとその他には読み・実行だけを許可していることを意味します。
表示形式（8進数とシンボリック）の違い
umaskの出力には「数値形式」と「シンボリック形式」があります。
- 8進数形式（例: 022）
0〜7までの数字で権限を表す方式。管理者が設定を行うときによく使われます。 - シンボリック形式（例: u=rwx,g=rx,o=rx）
「ユーザー(u)、グループ(g)、その他(o)」に対して読み取り(r)、書き込み(w)、実行(x)をどう許可するかを表す方式。直感的に理解しやすいため、初心者におすすめです。
数値形式は慣れると一目で分かる利点があり、シンボリック形式は設定内容を誤解しにくい利点があります。両方を理解しておくことで、確認やトラブルシュートがスムーズになります。
umaskの計算方法
基本パーミッションからの差し引き
umaskの値は「どの権限を削るか」を表しており、ファイルやディレクトリのデフォルト権限（ファイル=666、ディレクトリ=777）から差し引いて実際の権限が決まります。
例えば、umaskが 022 の場合を考えてみましょう。
- ファイル: 666 – 022 = 644（rw-r–r–）
- ディレクトリ: 777 – 022 = 755（rwxr-xr-x）
このように計算すると、所有者はすべての操作が可能ですが、グループやその他には「書き込み」が許可されないことが分かります。
もうひとつ例を挙げます。umaskが 077 の場合：
- ファイル: 666 – 077 = 600（rw——-）
- ディレクトリ: 777 – 077 = 700（rwx——）
この設定では所有者以外にはアクセス権が与えられないため、セキュリティを重視する環境に適しています。
ファイルとディレクトリでの違い
umaskの計算において重要なのは、ファイルにはデフォルトで実行権限が付与されないという点です。
たとえばumaskを000に設定した場合：
- ファイル: 666 – 000 = 666 → rw-rw-rw-（誰でも読み書き可能、ただし実行不可）
- ディレクトリ: 777 – 000 = 777 → rwxrwxrwx（誰でも操作可能）
このように、同じumask値でもファイルとディレクトリで結果が異なるため、用途に応じて計算方法を理解しておくことが大切です。
特に実行ファイルを扱う場合は、umaskによって実行権限が自動的に外れる点を意識し、必要であれば chmod +x で明示的に付与する必要があります。
umaskの設定方法
一時的に変更する方法
現在のシェルセッションだけでumaskを変更したい場合は、単純にコマンドを入力するだけで反映されます。
$ umask 027
この例では、グループとその他に対して書き込み権限を外し、さらにその他から読み取り権限も削除しています。一時的な変更なので、シェルを終了すれば元の設定に戻ります。テスト環境で権限を試したいときや、一時的に厳格な設定にしたい場合に便利です。
現在の設定を確認する場合は、再度 umask を実行すればOKです。
恒久的に変更する方法（.bashrcや.profile）
umaskを恒久的に反映させたい場合は、ログイン時に読み込まれる設定ファイルに記述します。代表的なのは以下のファイルです。
~/.bashrc: 対話的なシェル起動時に読み込まれる~/.profile: ログインシェル起動時に読み込まれる/etc/profile: システム全体に適用される設定
例えば、ユーザー単位で設定したい場合は ~/.bashrc に以下を追記します。
umask 022
その後、設定を反映するには再ログインするか、次のように読み込み直します。
$ source ~/.bashrc
システム全体の既定値を変更する際は /etc/profile に記述しますが、全ユーザーに影響するため慎重に行う必要があります。特に共有環境では、誤ったumask設定がセキュリティリスクにつながるため、変更は最小限にとどめることが推奨されます。
このように 一時的な変更と恒久的な変更を使い分けること が、実務での権限管理をスムーズにするポイントです。
よく使われるumask値とその意味
022（最も一般的な設定）
umaskのデフォルト値として多くのLinuxディストリビューションで採用されているのが 022 です。
- ファイル: 644（rw-r–r–）
- ディレクトリ: 755（rwxr-xr-x）
所有者は自由に操作でき、グループとその他には読み取り・実行だけが許可されます。公開サーバーや一般的な開発環境に適しており、もっともバランスの取れた設定といえます。
002（共同作業で便利な設定）
複数人が同じグループに属して作業する場合によく利用されるのが 002 です。
- ファイル: 664（rw-rw-r–）
- ディレクトリ: 775（rwxrwxr-x）
グループメンバー同士で読み書きできるため、チームでの開発やファイル共有環境に適しています。ただし、グループ管理を適切に行わないと不要なユーザーに権限が広がる恐れがあるため注意が必要です。
077（セキュリティ重視の設定）
外部からのアクセスを制限したい場合や、個人利用のサーバーでよく使われるのが 077 です。
- ファイル: 600（rw——-）
- ディレクトリ: 700（rwx——）
所有者以外には一切のアクセスを許さないため、セキュリティを強化できます。特に機密情報を扱う環境や、プライベートなログ保存ディレクトリなどで有効です。
その他の設定例
- 027 : グループには読み取りを許可するが、その他は完全に禁止
- 000 : 誰でも自由に読み書き可能（セキュリティ的に危険なので通常は使わない）
このようにumaskの値によって作成されるファイル・ディレクトリの権限は大きく変わります。システムの用途やチームの運用体制に合わせて、適切なumaskを選択することが重要です。
実務での活用例
Webサーバー運用での注意点
Webサーバーを運用する際には、umaskの設定がセキュリティに直結します。例えばApacheやNginxのプロセスが新しいファイルを生成する場合、umaskが緩すぎると意図せず「誰でも書き込み可能」なファイルが作られることがあります。これは外部からの改ざんや情報漏洩につながる危険性があるため、Webサーバー用のユーザーには 022や027 といった厳格なumaskを設定しておくのが一般的です。
また、アップロードされたファイルの権限にも注意が必要です。ファイルが666や777で作成されてしまうと、同じサーバー上の他のユーザーからアクセスされるリスクが生まれます。こうした事故を防ぐために、umaskで「不要な権限を最初から削る」運用が有効です。
開発環境・本番環境での違い
開発環境では、チームメンバー同士で柔軟にファイルを共有できるように 002 を使うケースが多くあります。これにより、同じグループに属するメンバーなら誰でもファイルを編集可能になり、共同作業がスムーズに進みます。
一方、本番環境ではセキュリティを優先して 022や077 が推奨されます。本番サーバー上のファイルは原則として管理者だけが書き込み可能であるべきで、他のユーザーに編集権限を与える必要はありません。
例えば以下のように環境ごとにumaskを切り替えるのが実務的です。
- 開発環境:
umask 002→ チーム作業を効率化 - ステージング環境:
umask 022→ 公開前の動作確認を安全に実施 - 本番環境:
umask 077→ セキュリティ最優先
このように、umaskの値を使い分けることで、利便性と安全性のバランス を取ることができます。
よくあるトラブルと対処法
期待と異なる権限で作成される場合
ファイルやディレクトリを作成したときに「思っていたより緩い権限になっている」「逆に厳しすぎてアクセスできない」といった経験は少なくありません。原因の多くはumask設定の影響です。
例えば、開発環境でumaskを 077 に設定したまま作業すると、他のメンバーがファイルを参照できなくなるケースがあります。逆にumaskを 000 にしていると、誰でも読み書きできる危険なファイルが生成されることになります。
このような場合はまず umask コマンドで現在の値を確認し、必要に応じて一時的に変更したり、設定ファイルを見直すことが解決への近道です。
他の設定との競合（ACLやumask以外の要因）
umaskだけでなく、システムには他にも権限を制御する仕組みがあります。その代表例が ACL（Access Control List） です。ACLを使うと、umaskの設定にかかわらず特定ユーザーに個別の権限を付与できます。そのため「umaskを変更しても反映されない」と感じるときはACLの影響を疑う必要があります。
また、アプリケーションによっては独自の権限設定を行う場合もあります。例えばFTPサーバーやデータベースでは、umaskとは別にファイル作成時のモードを指定する設定項目が用意されていることがあります。
こうした競合を防ぐには以下をチェックするとよいでしょう。
- umaskの値が正しく設定されているか
- ACLで特別な権限が付与されていないか
- アプリケーション固有の設定が優先されていないか
単純に「umaskを変えれば解決する」と思い込むのではなく、システム全体の権限管理の仕組みを理解すること がトラブル解決に欠かせません。
まとめとセキュリティへの影響
umaskは普段意識されにくい設定ですが、LinuxやUnix系システムの安全性を大きく左右する重要な要素です。ファイルやディレクトリを作成した瞬間にどの権限が付与されるかは、このumaskの値によって自動的に決まります。
もしumaskの設定が適切でなければ、チーム作業の妨げになったり、外部からの不正アクセスを許してしまう危険があります。たとえばumaskが緩すぎると、公開ディレクトリに誰でも書き込み可能なファイルが生成され、意図せぬ改ざんや情報漏洩につながる可能性があります。逆に厳しすぎると、開発チーム内での作業効率が下がり、必要なファイル共有ができなくなるでしょう。
実務では以下のような観点でumaskを調整するのが基本です。
- 開発環境 : 共有作業を優先し、
umask 002でグループ共有を円滑に - 本番環境 : セキュリティを最優先し、
umask 022または077で外部からの不要なアクセスを防止 - 個人利用や機密データ管理 : 所有者のみのアクセスを基本に
umask 077を推奨
このように、umaskはただの数値設定ではなく、セキュリティポリシーと運用スタイルを反映させるための仕組み です。用途に応じた最適な設定を行うことで、利便性と安全性を両立できるでしょう。
参考・参照リンク
- GNU Coreutils: umask
- Linux man page – umask(1)
- Red Hat – Managing umask Settings
- Debian Wiki – umask
- Arch Wiki – umask
これらのリンクは、より詳細な仕様やディストリビューションごとの挙動の違いを確認する際に役立ちます。システム管理やサーバー運用の現場では、umask以外にもACLやSELinuxなど複数の仕組みが組み合わさっているため、併せて理解しておくとより安全で効率的な運用につながります。
コメント