用户组和权限管理的说明

今天药忘吃喽~ 2022-10-01 14:54 176阅读 0赞

# 用户、组和权限 #

## 用户user ##

令牌token,identity  
Linux用户：Username/UID  
管理员：root, 0  
普通用户：1-60000 自动分配  
系统用户：1-499, 1-999 （CentOS7）  
对守护进程获取资源进行权限分配  
登录用户：500+, 1000+（CentOS7）  
交互式登录

## 组group ##

Linux组：Groupname/GID  
管理员组：root, 0  
普通组：  
系统组：1-499, 1-999（CENTOS7）  
普通组：500+, 1000+（CENTOS7）  
组的类别

### Linux组的类别 ###

用户的主要组(primary group)  
用户必须属于一个且只有一个主组  
组名同用户名，且仅包含一个用户，私有组  
用户的附加组(supplementary group)  
一个用户可以属于零个或多个辅助组

### 用户和组的配置文件 ###

Linux用户和组的主要配置文件：  
/etc/passwd：用户及其属性信息(名称、UID、主组ID等）  
/etc/group：组及其属性信息  
/etc/shadow：用户密码及其相关属性  
/etc/gshadow：组密码及其相关属性

#### passwd文件格式 ####

login name：登录用名（wang）  
passwd：密码 (x)  
UID：用户身份编号 (1000)  
GID：登录默认所在组编号 (1000)  
GECOS：用户全名或注释  
home directory：用户主目录 (/home/wang)  
shell：用户默认使用shell (/bin/bash)

#### shadow文件格式 ####

登录用名  
用户密码:一般用sha512加密  
从1970年1月1日起到密码最近一次被更改的时间  
密码再过几天可以被变更（0表示随时可被变更）  
密码再过几天必须被变更（99999表示永不过期）  
密码过期前几天系统提醒用户（默认为一周）  
密码过期几天后帐号会被锁定  
从1970年1月1日算起，多少天后帐号失效

### 密码加密 ###

加密机制：  
加密：明文--> 密文  
解密：密文--> 明文  
单向加密：哈希算法，原文不同，密文必不同  
相同算法定长输出，获得密文不可逆推出原始数据  
雪崩效应：初始条件的微小改变，引起结果的巨大改变  
md5: message digest, 128bits  
sha1: secure hash algorithm, 160bits  
sha224: 224bits  
sha256: 256bits  
sha384: 384bits  
sha512: 512bits  
更改加密算法：  
authconfig --passalgo=sha256 --update  
密码的复杂性策略  
足够长  
使用数字、大写字母、小写字母及特殊字符中至少3种  
使用随机密码  
定期更换,不要使用最近曾经使用过的密码  
group文件格式  
群组名称：就是群组名称  
群组密码：通常不需要设定，密码是被记录在 /etc/gshadow  
GID：就是群组的 ID  
以当前组为附加组的用户列表(分隔符为逗号)  
gshdow文件格式  
群组名称：就是群的名称  
群组密码：  
组管理员列表：组管理员的列表，更改组密码和成员  
以当前组为附加组的用户列表：多个用户间用逗号分隔

## 用户创建：useradd ##

useradd \[options\] LOGIN  
\-u UID  
\-o 配合-u 选项，不检查UID的唯一性  
\-g GID 指明用户所属基本组，可为组名，也可以GID  
\-c "COMMENT“ 用户的注释信息  
\-d HOME\_DIR 以指定的路径(不存在)为家目录  
\-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中  
\-G GROUP1\[,GROUP2,...\] 为用户指明附加组，组须事先存在  
\-N 不创建私用组做主组，使用users组做主组  
\-r 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000  
\-m 创建家目录，用于系统用户  
\-M 不创建家目录，用于非系统用户

## 创建用户： useradd ##

默认值设定：/etc/default/useradd  
显示或更改默认设置  
useradd -D  
useradd –D -s SHELL  
useradd –D –b BASE\_DIR  
useradd –D –g GROUP

## 新建用户的相关文件和命令 ##

/etc/default/useradd  
/etc/skel/\*  
/etc/login.defs  
newusers passwd格式文件 批量创建用户  
chpasswd 批量修改用户口令

## 用户属性修改 ##

usermod \[OPTION\] login  
\-u UID: 新UID  
\-g GID: 新主组  
\-G GROUP1\[,GROUP2,...\[,GROUPN\]\]\]：新附加组，原来的附加组将会被  
覆盖；若保留原有，则要同时使用-a选项  
\-s SHELL：新的默认SHELL  
\-c 'COMMENT'：新的注释信息  
\-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，  
同时使用-m选项  
\-l login\_name: 新的名字  
\-L: lock指定用户,在/etc/shadow 密码栏的增加 !  
\-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉  
\-e YYYY-MM-DD: 指明用户账号过期日期  
\-f INACTIVE: 设定非活动期限

## 删除用户 ##

userdel \[OPTION\]... login  
\-r: 删除用户家目录

## 查看用户相关的ID信息 ##

id \[OPTION\]... \[USER\]  
\-u: 显示UID  
\-g: 显示GID  
\-G: 显示用户所属的组的ID  
\-n: 显示名称，需配合ugG使用

## 切换用户或以其他用户身份执行命令 ##

su \[options...\] \[-\] \[user \[args...\]\]  
切换用户的方式：  
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变  
当前工作目录  
su - UserName：登录式切换，会读取目标用户的配置文件，切换至家目  
录，完全切换  
root su至其他用户无须密码；非root用户切换时需要密码  
换个身份执行命令：  
su \[-\] UserName -c 'COMMAND'  
选项：-l --login  
su -l UserName 相当于 su - UserName

## 设置密码 ##

passwd \[OPTIONS\] UserName: 修改指定用户的密码  
常用选项：  
\-d：删除指定用户密码  
\-l：锁定指定用户  
\-u：解锁指定用户  
\-e：强制用户下次登录修改密码  
\-f：强制操作  
\-n mindays：指定最短使用期限  
\-x maxdays：最大使用期限  
\-w warndays：提前多少天开始警告  
\-i inactivedays：非活动期限  
\--stdin：从标准输入接收用户密码  
示例：echo "PASSWORD" | passwd --stdin USERNAME

## 修改用户密码策略 ##

chage \[OPTION\]... LOGIN  
\-d LAST\_DAY  
\-E --expiredate EXPIRE\_DATE  
\-I --inactive INACTIVE  
\-m --mindays MIN\_DAYS  
\-M --maxdays MAX\_DAYS  
\-W --warndays WARN\_DAYS  
\-l 显示密码策略  
示例：  
chage -d 0 tom 下一次登录强制重设密码  
chage -m 0 –M 42 –W 14 –I 7 tom  
chage -E 2016-09-10 tom

## 创建组 ##

groupadd \[OPTION\]... group\_name  
\-g GID 指明GID号；\[GID\_MIN, GID\_MAX\]  
\-r 创建系统组  
CentOS 6: ID<500  
CentOS 7: ID<1000

## 修改和删除组 ##

组属性修改：groupmod  
groupmod \[OPTION\]... group  
\-n group\_name: 新名字  
\-g GID: 新的GID

组删除：groupdel  
groupdel GROUP

## 更改组密码 ##

组密码：gpasswd  
gpasswd \[OPTION\] GROUP  
\-a user 将user添加至指定组中  
\-d user 从指定组中移除用户user  
\-A user1,user2,... 设置有管理权限的用户列表  
newgrp命令：临时切换主组  
如果用户本不属于此组，则需要组密码

## 更改和查看组成员 ##

groupmems \[options\] \[action\]  
options：  
\-g, --group groupname 更改为指定组 (只有root)  
Actions:  
\-a, --add username 指定用户加入组  
\-d, --delete username 从组中删除用户  
\-p, --purge 从组中清除所有成员  
\-l, --list 显示组成员列表  
groups \[OPTION\].\[USERNAME\]... 查看用户所属组列表

## 修改文件的属主和属组 ##

修改文件的属主：chown  
chown \[OPTION\]... \[OWNER\]\[:\[GROUP\]\] FILE...  
用法说明：  
OWNER  
OWNER:GROUP  
:GROUP，冒号也可用 . 替换  
\-R: 递归  
chown \[OPTION\]... --reference=RFILE FILE...  
修改文件的属组：chgrp  
chgrp \[OPTION\]... GROUP FILE...  
chgrp \[OPTION\]... --reference=RFILE FILE...  
\-R 递归

## 修改文件权限 ##

chmod \[OPTION\]... OCTAL-MODE FILE...  
\-R: 递归修改权限  
chmod \[OPTION\]... MODE\[,MODE\]... FILE...  
MODE：  
修改一类用户的所有权限  
u= g= o= ug= a= u=,g=  
修改一类用户某位或某些位权限  
u+ u- g+ g- o+ o- a+ a- + -  
chmod \[OPTION\]... --reference=RFILE FILE...  
参考RFILE文件的权限，将FILE的修改为同RFILE

## 新建文件和目录的默认权限 ##

umask值 可以用来保留在创建文件权限  
新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权  
限，则将其权限+1  
新建目录的默认权限: 777-umask  
非特权用户umask是 002  
root的umask 是 022  
umask: 查看  
umask \# 设定  
示例：umask 002  
umask u=rw,g=r,o=  
umask –S 模式方式显示  
umask –p 输出可被调用  
全局设置： /etc/bashrc 用户设置：~/.bashrc

## 设定文件特定属性 ##

chattr +i 不能删除，改名，更改  
chattr +a 只能追加内容  
lsattr 显示特定属性

## Linux文件系统上的特殊权限 ##

SUID, SGID, Sticky  
三种常用权限：r, w, x user, group, other  
安全上下文  
前提：进程有属主和属组；文件有属主和属组  
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有  
执行权限  
(2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组  
(3) 进程访问文件时的权限，取决于进程的发起者  
(a) 进程的发起者，同文件的属主：则应用文件属主权限  
(b) 进程的发起者，属于文件属组；则应用文件属组权限  
(c) 应用文件“其它”权限

## 访问控制列表 ##

为多用户或者组的文件和目录赋予访问权限rwx  
mount -o acl /directory  
getfacl file |directory  
setfacl -m u:wang:rwx file|directory  
setfacl -Rm g:sales:rwX directory  
setfacl -M file.acl file|directory  
setfacl -m g:salesgroup:rw file| directory  
setfacl -m d:u:wang:rx directory  
setfacl -x u:wang file |directory  
setfacl -X file.acl directory  
ACL文件上的group权限是mask 值（自定义用户，自定义组，拥有组的最大权  
限）,而非传统的组权限  
getfacl 可看到特殊权限：flags  
通过ACL赋予目录默认x权限，目录内文件也不会继承x权限  
base ACL 不能删除  
setfacl -k dir 删除默认ACL权限  
 setfacl –b file1清除所有ACL权限  
getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2  
访问控制列表  
mask只影响除所有者和other的之外的人和组的最大权限  
Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective  
Permission)  
用户或组的设置必须存在于mask权限设定范围内才会生效 setfacl -m  
mask::rx file  
--set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含  
UGO的设置，不能象-m一样只是添加ACL就可以  
示例：  
setfacl --set u::rw,u:wang:rw,g::r,o::- file1  
备份和恢复ACL  
主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是  
tar等常见的备份工具是不会保留目录和文件的ACL信息  
getfacl -R /tmp/dir1 > acl.txt  
setfacl -R -b /tmp/dir1  
setfacl -R --set-file=acl.txt /tmp/dir1  
setfacl --restore acl.txt  
getfacl -R /tmp/dir1

转载于:https://blog.51cto.com/14231434/2364574