Linux 用户和组

用户4955575447946
175 阅读13分钟

用户和组配置文件

用户

  • 令牌token,identity

  • Linux 用户: Username/UID

  • 管理员: root, 0

  • 普通用户:1-60000 自动分配

    • 系统用户:1-499,1-999 (CentOS7) 对守护进程获取资源进行权限分配
    • 登录用户:500+，1000+(CentOS7) 交互式登录

组

  • Linux组:Groupname/GID

  • 管理员组:root, 0

  • 普通组:

    • 系统组:1-499,1-999 (CENTOS7)
    • 普通组:500+，1000+(CENTOS7)

安全上下文

  • Linux安全上下文 运行中的程序:进程(process) 以进程发起者的身份运行: root: /bin/cat 进程所能够访问资源的权限取决于进程的运行者的身份

组的类别

  • Linux组的类别 用户的主要组(primary group) 用户必须属于一个且只有一个主组 组名同用户名，且仅包含一个用户，私有组 用户的附加组(supplementary group) 一个用户可以属于零个或多个辅助组
  • Linux用户和组的主要配置文件: /etc/passwd:用户及其属性信息(名称、UID、主组ID等) /etc/group:组及其属性信息 /etc/shadow:用户密码及其相关属性 /etc/gshadow:组密码及其相关属性

passwd文件格式

  • login name:登录用名(wang)
  • passwd:密码(x)
  • UID:用户身份编号(1000)
  • GID:登录默认所在组编号(1000)
  • GECOS:用户全名或注释
  • home directory:用户主目录(/home/wang)
  • shell:用户默认使用shell (/bin/bash)

shadow文件格式

  • 登录用名 用户密码:一般用sha512加密
  • 从1970年1月1日起到密码最近一次被更改的时间
  • 密码再过几天可以被变更（0表示随时可被变更)
  • 密码再过几天必须被变更(99999表示永不过期)
  • 密码过期前几天系统提醒用户(默认为一周)
  • 密码过期几天后帐号会被锁定
  • 从1970年1月1日算起，多少天后帐号失效

密码加密

  • 加密机制: 加密:明文--> 密文 解密:密文--> 明文
  • 单向加密:哈希算法，原文不同，密文必不同 相同算法定长输出，获得密文不可逆推出原始数据 雪崩效应:初始条件的微小改变，引起结果的巨大改变 md5: message digest,128bits sha1 : secure hash algorithm, 160bits sha224: 224bits sha256: 256bits sha384: 384bits sha512: 512bits
  • 更改加密算法: authconfig --passalgo=sha256 --update

密码的复杂性策略

  • 使用数字、大写字母、小写字母及特殊字符中至少3种
  • 足够长
  • 使用随机密码
  • 定期更换,不要使用最近曾经使用过的密码

5.png

group文件格式

  • 群组名称:就是群组名称
  • 群组密码:通常不需要设定，密码是被记录在/etc/gshadow
  • GID:就是群组的ID
  • 以当前组为附加组的用户列表(分隔符为逗号)

gshdow文件格式

  • 群组名称:就是群组名称
  • 群组密码:
  • 组管理员列表:组管理员的列表，更改组密码和成员
  • 以当前组为附加组的用户列表:(分隔符为逗号)

文件操作

  • vipw和vigr
  • pwck和grpck

用户管理命令

  • 用户管理命令useradd；usermod；userdel
  • 组帐号维护命令groupadd；groupmod；groupdel

用户创建

  • useradd [options] LOGIN -u UID -o 配合-u选项，不检查UID的唯一性 -g GlD:指明用户所属基本组，可为组名，也可以GID -c "COMMENT":用户的注释信息 -d HOME_DIR:以指定的路径(不存在)为家目录 -s SHELL:指明用户的默认shell程序，可用列表在/etc/shells文件中 -G GROUP1[,GROUP2,.…]:为用户指明附加组，组须事先存在 -N 不创建私用组做主组，使用users组做主组 -r: 创建系统用户CentOS 6:ID<500，CentOS 7:ID<1000 -m 创建家目录，用于系统用户 -M 不创建家目录，用于非系统用户
  • 默认值设定:/etc/default/useradd文件中
  • 显示或更改默认设置 useradd -D useradd -D -s SHELL useradd -D -b BASE_DIR useradd -D -g GROUP

新建用户的相关文件和命令

  • /etc/default/useradd
  • /etc/skel/*
  • /etc/login.defs
  • newusers passwd格式文件 批量创建用户
  • chpasswd 批量修改用户口令

用户属性修改

  • usermod [OPTION] login -u UID:新UID -g GID:新主组 -G GROUP1[,GROUP2,…[,GROUPN]]]: 新附加组，原来的附加组将会被覆盖;若保留原有，则要同时使用-a选项 -s SHELL:新的默认SHELL -c 'COMMENT':新的注释信息 -d HOME:新家目录不会自动创建;若要创建新家目录并移动原家数据，同时使用-m选项 -l login_name:新的名字; -L: lock指定用户,在/etc/shadow密码栏的增加! -U: unlock指定用户,将/etc/shadow密码栏的!拿掉 -e YYYY-MM-DD:指明用户账号过期日期 -f INACTIVE:设定非活动期限

删除用户

  • userdel [OPTION]... login -r: 删除用户家目录

查看用户相关的ID信息

  • id [OPTION].…. [USER] -u:显示UID -g:显示GID -G:显示用户所属的组的ID -n:显示名称，需配合ugG使用

切换用户或以其它用户身份执行命令

  • su [options...] [-] [user [args..]]
  • 切换用户的方式: su UserName:非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录 su -UserName:登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换
  • root su至其他用户无须密码;非root用户切换时需要密码
  • 换个身份执行命令: su [-] UserName -c 'COMMAND'
  • 选项: -l --login su -l UserName相当于su - UserName

设置密码

  • passwd [OPTIONS] UserName: 修改指定用户的密码
  • 常用选项: -d:删除指定用户密码 -l:锁定指定用户 -u:解锁指定用户 -e:强制用户下次登录修改密码 -f:强制操作 -n mindays:指定最短使用期限 -x maxdays:最大使用期限 -w warndays:提前多少天开始警告 -i inactivedays:非活动期限 --stdin:从标准输入接收用户密码 echo "PASSWORD" | passwd --stdin USERNAME

修改用户密码策略

  • chage [OPTION]... LOGIN -d LAST_DAY -E --expiredate EXPIRE_DATE -l --inactive INACTIVE -m --mindays MIN_DAYS -M --maxdays MAX_DAYS -w --warndays WARN_DAYS -l 显示密码策略
  • 示例: chage -d 0 tom下一次登录强制重设密码 chage -m 0-M 42 -W 14 -l 7 tom chage -E 2016-09-10 tom

用户相关的其它命令

  • chfn指定个人信息
  • chsh指定shell
  • finger

组管理命令

创建组

  • groupadd [OPTION]... group_name -g GID:指明GID号; [GID_MIN,GID_MAX] -r:创建系统组 CentOS 6: ID<500 CentOS 7: ID<1000

修改组

  • 组属性修改: groupmod groupmod [OPTION]... group -n group_name:新名字 -g GID:新的GID

删除组

  • 组删除:groupdel groupdel GROUP

更改组密码

  • 组密码:gpasswd
  • gpasswd [OPTION]GROUP -a user 将useri添加至指定组中 -d user从指定组中移除用户user -A user1,user2,...设置有管理权限的用户列表
  • newgrp命令:临时切换主组 如果用户本不属于此组，则需要组密码

更改和查看组成员

  • groupmems [options] [action] options: -g, --group groupname更改为指定组(只有root) Actions: -a, --add username指定用户加入组 -d, --delete username 从组中删除用户 -p, --purge 从组中清除所有成员 -l,--list 显示组成员列表
  • groups [OPTION].[USERNAME]... 查看用户所属组列表

权限管理

文件权限

  • 文件的权限主要针对三类对象进行定义 owner:属主, u group:属组, g other:其他, o

  • 每个文件针对每类访问者都定义了三种权限 r: Readable w: Writable x: eXcutable

  • 文件: r:可使用文件查看类工具获取其内容 w:可修改其内容 X:可以把此文件提请内核启动为一个进程

  • 目录: r:可以使用ls查看此目录中文件列表 w:可在此目录中创建文件，也可删除此目录中的文件 x:可以使用ls -l查看此目录中文件元数据（须配合r)，可以cd进入此目录 ×:只给目录x权限，不给文件x权限

  • 文件属性

6.png

  • 文件属性操作 chown 设置文件的所有者 chgrp 设置文件的属组信息

修改文件的属主和属组

  • 修改文件的属主:chown chown [OPTION]... [OWNER][:[GROUP]] FILE... 用法: OWNER OWNER:GROUP :GROUP 命令中的冒号可用.替换 -R:递归 chown [OPTION]... --reference=RFILE FILE...
  • 修改文件的属组: chgrp chgrp [OPTION].….GROUP FILE... chgrp [OPTION]... --reference=RFILE FILE... -R递归

文件权限操作

文件权限操作命令: chmod 文件权限(rwx|X)

​

权限项文件类型读写执行读写执行读写执行
字符表示(dlcsp)(r)(w)(x)(r)(w)(x)(r)(w)(x)
数字表示421421421
权限分配文件所有者文件所属组用户其他用户

​

八进制数字

--- 000 o；--x 001 1；-w- 010 2；-wx 011 3；r-- 100 4；r-x 101 5；rw- 110 6；rwx 1117 例如: 640: rw-r-----；755: rwxr-xr-x

修改文件权限

  • chmod[OPTION]... OCTAL-MODE FILE...
  • -R:递归修改权限
  • chmod [dPTION]... MODE[,MODE]...FILE...
  • MODE: 修改一类用户的所有权限: u= g= o= ug= a= u=,g= 修改一类用户某位或某些位权限 u+ u- g+ g- o+ o- a+ a- + -
  • chmod [OPTION]... --reference=RFILE FILE... 参考RFILE文件的权限，将FILE的修改为同RFILE

默认权限umask和特殊权限

新建文件和目录的默认权限

  • umask值可以用来保留在创建文件权限
  • 新建FILE权限:666-umask 如果所得结果某位存在执行（奇数)权限，则将其权限+1
  • 新建DIR权限:777-umask
  • 非特权用户umask是002
  • root的umask是022
  • umask:查看
  • umask #:设定 umask 002
  • umask -S模式方式显示
  • umask -p 输出可被调用
  • 全局设置:/etc/bashrc 用户设置:~/.bashrc

Linux文件系统上的特殊权限

  • SUID, SGID, Sticky
  • 三种常用权限:r, w, x user, group, other
  • 安全上下文
  • 前提:进程有属主和属组;文件有属主和属组 (1)任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限 (2)启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组 (3)进程访问文件时的权限，取决于进程的发起者 (a)进程的发起者，同文件的属主:则应用文件属主权限 (b)进程的发起者，属于文件属组;则应用文件属组权限 (c)应用文件“其它”权限

suid:4作用于二进制可执行的文件上，功能:当用户执行此文件，会继承此文件所有者的权限 sgid:2 1）作用于二进制可执行的文件上，功能:当用户执行此文件，会继承此文件所属组的权限 2）作用于目录上，功能:当用户在此目录建新文件时，此新文件的所属组继承目录的所属组 sticky:1 作用于目录上，功能:对目录的文件，只能删除自已的文件

可执行文件上SUID权限

  • 任何一个可执行程序文件能不能启动为进程:取决发起者对程序文件是否拥有执行权限
  • 启动为进程之后，其进程的属主为原程序文件的属主
  • SUID只对二进制可执行程序有效
  • SUID设置在目录上无意义
  • 权限设定: chmod u+s FILE... chmod u-s FILE...

可执行文件上SGID权限

  • 任何一个可执行程序文件能不能启动为进程:取决发起者对程序文件是否拥有执行权限
  • 启动为进程之后，其进程的属组为原程序文件的属组
  • 权限设定: chmod g+s FILE... chmod g-s FILE...

目录上SGID权限

  • 默认情况下，用户创建文件时，其属组为此用户所属的主组
  • 一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组
  • 通常用于创建一个协作目录权限设定: chmod g+s DIR... chmod g-s DIR...

Sticky位

  • 具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权

  • 在目录设置Sticky位，只有文件的所有者或root可以删除该文件

  • sticky 设置在文件上无意义

  • 权限设定: chmod o+t DIR... chmod o-t DIR...

  • 例如∶

    ls -ld /tmp drwxrwxrwt 12 root root 4096 Nov 2 15:44 /tmp

权限位映射

  • SUID: user,占据属主的执行权限位 s:属主拥有x权限 S:属主没有x权限
  • SGID: group,占据属组的执行权限位 s: group拥有x权限 S: group没有x权限
  • Sticky: other,占据other的执行权限位 t: other拥有x权限 T: other没有x权限

设定文件特定属性

  • chattr +i 不能删除，改名，更改
  • chattr +a 只能追加内容
  • lsattr 显示特定属性

ACL（访问控制表）权限管理

  • ACL: Access Control List，实现灵活的权限管理
  • 除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
  • CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
  • CentOS7之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加 tune2fs -o acl /dev/sdb1 mount -o acl /dev/sdb1 /mnt/test
  • ACL生效顺序:所有者，自定义用户，自定义组，其他人
  • 为多用户或者组的文件和目录赋予访问权限 rwx.mount -o acl /directory getfatl file |directory setfacl -m u:wang:rwx file|directory setfacl -Rm g:sales:rwX directory setfacl -M file.acl file|directory setfacl -m g:salesgroup:rw file| directory setfacl -m d:u:wang:rx directory setfacl -x u:wang file |directory setfacl -X file.acl directory
  • ACL文件上的group权限是mask值（自定义用户，自定义组，拥有组的最大权限）,而非传统的组权限
  • getfacl 可看到特殊权限:flags
  • 通过ACL赋予目录默认x权限，目录内文件也不会继承x权限
  • base ACL不能删除
  • setfacl -k dir删除默认AGL权限
  • setfacl -b file1清除所有ACL权限
  • getfacl file1 | setfacl --set-file=- file2复制file1的acl权限给file2
  • mask只影响除所有者和other的之外的人和组的最大权限 Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(EffectivePermission) 用户或组的设置必须存在于mask权限设定范围内才会生效 setfacl -m mask:rx file
  • --set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
  • 示例: setfacl --set u::rw,u:wang:rw,g::r,o::- file1

备份和恢复ACL

  • 主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息 getfacl -R /tmp/dir1 > acl.txt setfacl -R -b /tmp/dir1 setfacl -R --set-file=acl.txt /tmp/dir1 setfacl --restore acl.txt getfacl -R /tmp/dir1
avatar
文章
阅读
粉丝