/etc — Systemkonfiguration

Was ist /etc?

/etc enthält die statische, systemweite Konfiguration des Linux-Systems — und nichts anderes. Der FHS-Standard (3.0, Kapitel 3.7) schreibt zwei Kerneigenschaften fest:

1. /etc enthält Konfigurationsdateien, keine ausführbaren Binaries und keine variablen Daten (die gehören in /var).
2. Die Konfiguration gilt für das gesamte System, nicht für einzelne Nutzer (User-spezifische Konfiguration lebt in ~/.config/ und Co.).

Die Bedeutung des Namens ist historisch: ursprünglich „etcetera" — also „und so weiter", weil dort alles abgelegt wurde, was nirgendwo anders hinpasste. Eric S. Raymond und andere haben den Begriff später als „Editable Text Configuration" rückwirkend gedeutet, was die heutige Verwendung eher trifft.

Wichtig zur Abgrenzung:

Eine kleine Ausnahme von der Regel „nichts ausführbares": /etc/init.d/-Skripte auf Legacy-SysV-Systemen sowie /etc/rc.local waren ausführbar. Auf modernen systemd-Distributionen sind diese weitgehend obsolet — Service-Definitionen liegen in /etc/systemd/system/ als reine Text-Unit-Files.

Die wichtigsten Dateien und Verzeichnisse

In jedem produktiven Linux-System findest du dieselben Kern-Dateien — sie gehören zur Grundausstattung praktisch jeder Distribution:

Programmspezifische Einstellungen leben fast immer in eigenen Unterverzeichnissen — /etc/nginx/, /etc/postgresql/<version>/, /etc/apache2/, /etc/mysql/, /etc/redis/. Das vermeidet Namens-Kollisionen und macht das Backup einer einzelnen Anwendung einfacher.

# Distribution und Version
cat /etc/os-release
# NAME="Ubuntu"
# VERSION="24.04 LTS (Noble Numbat)"
# ID=ubuntu

# Hostname
cat /etc/hostname
# myserver

# Eigene User
getent passwd michael
# michael:x:1000:1000:Michael Belokon,,,:/home/michael:/bin/bash

# SSH-Port und PermitRootLogin auf einen Blick
grep -E '^(Port|PermitRootLogin)' /etc/ssh/sshd_config

Drop-In-Pattern: *.d-Verzeichnisse für saubere Anpassungen

Eine der wichtigsten Konventionen unter /etc: für viele Konfigurationen existiert nicht nur eine Hauptdatei, sondern parallel ein Drop-In-Verzeichnis mit .d-Suffix. Beispiele: /etc/sudoers.d/, /etc/cron.d/, /etc/systemd/system/<unit>.d/, /etc/apt/sources.list.d/, /etc/profile.d/, /etc/sysctl.d/.

Die Idee dahinter ist konsistent in allen Fällen:

• Die Distribution liefert ihre Defaults in der Hauptdatei (/etc/sudoers) oder in eigenen Distributions-Drop-Ins.
• Lokale Anpassungen kommen als separate Datei in das .d-Verzeichnis (/etc/sudoers.d/myadmin).
• Beim Start liest das Programm zuerst die Hauptdatei und dann alle Dateien aus dem Drop-In-Verzeichnis (alphabetisch sortiert), wobei spätere Werte frühere überschreiben können.

Vorteile dieses Patterns:

1. Paket-Updates überschreiben deine Anpassungen nicht. Die Hauptdatei kann vom Paketmanager aktualisiert werden, deine Drop-Ins bleiben unangetastet.
2. Modulare Konfiguration. Jede logische Einheit bekommt ihre eigene Datei (10-base.conf, 20-network.conf, 90-overrides.conf).
3. Sauberes Diff und Rollback. Anpassungen lassen sich einzeln versionieren oder löschen.

# FALSCH: direkt in /etc/sudoers schreiben
# → Update-Konflikte beim nächsten apt-Lauf

# RICHTIG: eigene Datei in /etc/sudoers.d/
sudo visudo -f /etc/sudoers.d/admin-bypass
# Inhalt:
# michael ALL=(ALL:ALL) NOPASSWD: /usr/bin/systemctl restart nginx

# Drop-Ins werden automatisch geladen — die Datei muss
# 0440-Berechtigungen haben (visudo setzt das richtig).
ls -la /etc/sudoers.d/

# Drop-In-Editor (legt /etc/systemd/system/nginx.service.d/override.conf an)
sudo systemctl edit nginx

# Nach dem Speichern:
sudo systemctl daemon-reload
sudo systemctl restart nginx

# Prüfen, was effektiv gilt
systemctl cat nginx
# /lib/systemd/system/nginx.service          ← Distribution
# /etc/systemd/system/nginx.service.d/override.conf  ← Drop-In

Berechtigungen, Eigentümer und Sicherheit

/etc selbst gehört root und ist 0755 (rwx für root, read+execute für alle). Die Mehrheit der Dateien darunter ebenfalls 0644 und root:root — sie sollen für alle lesbar sein, weil viele Programme als normale User auf System-Konfiguration zugreifen müssen (etwa passwd für die UID-Auflösung).

Ausnahmen mit eingeschränkten Rechten:

Praktischer Sicherheits-Check: regelmäßig mit find /etc -type f -perm -o+w prüfen, ob fälschlich world-writable Dateien existieren. Das ist ein klassischer Privilege-Escalation-Vektor — sobald irgendein Service dort als root parst, kann ein normaler User Code injizieren.

# World-writable Dateien (sollte leer sein)
find /etc -type f -perm -o+w 2>/dev/null

# SUID-Programme (in /etc sehr ungewöhnlich)
find /etc -type f -perm -4000 2>/dev/null

# Dateien, deren Owner NICHT root ist
find /etc ! -user root 2>/dev/null

# Was hat sich seit letztem Backup geändert?
sudo apt install debsums
sudo debsums -ce /etc 2>/dev/null

Backup, Versionskontrolle und etckeeper

Weil /etc fast komplett aus Textdateien besteht, ist es prädestiniert für Versionskontrolle. Das gibt dir einen Audit-Trail über alle Änderungen — egal ob du sie selbst gemacht hast oder sie durch ein Paket-Update entstanden sind.

Das Standard-Werkzeug dafür ist etckeeper — ein Wrapper um Git, Mercurial oder Bazaar, der speziell für /etc ausgelegt ist:

sudo apt install etckeeper

# Bei der Installation wird /etc automatisch initialisiert
cd /etc
sudo git log --oneline | head -10
# 5a8f2e3 saving uncommitted changes in /etc prior to apt run
# b3c1d04 committing changes in /etc after apt run
# ...

# etckeeper hooks in apt — automatischer Commit vor und nach
# jedem apt-Lauf, mit Diff der getroffenen Änderungen.

Was etckeeper konkret macht:

1. Initialisiert ein Git-Repo direkt in /etc/.git.
2. Konfiguriert die Berechtigungen so, dass das Repo nur für root lesbar ist (Schutz vor Schlüssel-Leaks).
3. Hängt sich in den Paketmanager ein und committed automatisch vor und nach jedem Update.
4. Lässt sich manuell ergänzen: sudo etckeeper commit "sudoers angepasst".

Alternativen: ein eigenes Git-Repo per Hand pflegen, Snapshots auf Filesystem-Ebene (Btrfs, ZFS) oder Configuration-Management-Tools wie Ansible, Puppet oder Salt — letztere lösen das Problem auf der nächsthöheren Abstraktionsebene, indem sie /etc aus zentralen Definitionen erzeugen statt es direkt zu versionieren.

Praxis-Befehle für /etc

Ein paar Standard-Werkzeuge zur Inspektion und Wartung:

# Wieviel Platz verbraucht /etc?
du -sh /etc
# 12M /etc

# Größte Dateien
sudo du -ah /etc | sort -hr | head -20

# Anzahl Dateien
sudo find /etc -type f | wc -l
# ca. 2000–5000 auf einem Desktop-System

# Alle veränderten Konfigurationsdateien (Debian)
sudo dpkg --verify | grep '^..5' | head

# Debian/Ubuntu
dpkg -S /etc/ssh/sshd_config
# openssh-server: /etc/ssh/sshd_config

# Fedora/RHEL
rpm -qf /etc/ssh/sshd_config
# openssh-server-9.8p1-1.fc41.x86_64

# Arch
pacman -Qo /etc/ssh/sshd_config
# /etc/ssh/sshd_config is owned by openssh 9.8p1-1

# Debian/Ubuntu: alle modifizierten Conffiles auflisten
dpkg-query -W -f='${Conffiles}\n' '*' \
    | awk 'OFS="  " {print $2,$1}' \
    | md5sum -c 2>/dev/null \
    | awk -F': ' '$2 !~ /OK$/{print $1}'

Weiterführende Ressourcen

Externe Quellen

• Filesystem Hierarchy Standard 3.0 — /etc
• etckeeper auf joeyh.name
• systemd: Drop-In-Konfiguration
• Linux man-pages: hier(7) — Verzeichnisstruktur
• Linux Foundation: LSB — Konfigurationskonventionen

Verwandte Artikel

• Verzeichnisstruktur — Übersicht
• /var — Variable Daten und Logs
• /usr — Benutzer-Software und Bibliotheken
• /home — Persönliche Daten der Nutzer
• Berechtigungen unter Linux — chmod, chown, SUID