用户组和权限管理

                           用户组和权限管理

1. 介绍安全3A
   资源分派：
   Authentication：认证
   Authorization：授权
   Accouting|Audition：审计
2. 用户user
   • 令牌token,identity
   • Linux用户：Username/UID
   • 管理员：root, 0
   • 普通用户：1-60000 自动分配,r人工分配可以60000以上
     系统用户：1-499, 1-999 （CentOS7）
       对守护进程获取资源进行权限分配
     登录用户：500+, 1000+（CentOS7）
       交互式登录
3. 组group
   • Linux组：Groupname/GID
   • 管理员组：root, 0
   • 普通组：··
       系统组：1-499, 1-999（CENTOS7）
       普通组：500+, 1000+（CENTOS7）
4. 安全上下文
   • Linux安全上下文
       运行中的程序：进程 (process)
   • 以进程发起者的身份运行：
       root: /bin/cat
       mage: /bin/cat
     进程所能够访问资源的权限取决于进程的运行者的身份
     #rm ./-f1 //删除-f1文件
     #rm -- -f1 //删除-f1文件
5. 组的类别
   • Linux组的类别
      用户的主要组(primary group)
        用户必须属于一个且只有一个主组
        组名同用户名，且仅包含一个用户，私有组
      用户的附加组(supplementary group)
        *一个用户可以属于零个或多个辅助组

6. 用户和组的配置文件

   • Linux用户和组的主要配置文件：
      /etc/passwd：用户及其属性信息(名称、UID、主组ID等）
      /etc/group：组及其属性信息
      /etc/shadow：用户密码及其相关属性
      /etc/gshadow：组密码及其相关属性
   • passwd文件格式
       login name：登录用名（wang）
       passwd：密码 (x)
       UID：用户身份编号 (1000)
       GID：登录默认所在组编号 (1000)
       GECOS：用户全名或注释
       home directory：用户主目录 (/home/wang)
       shell：用户默认使用shell (/bin/bash)
     把root账户的uid改为不为0.则root不是超级用户。
     如果系统无管理员账户，系统重新启动时将无法正常启动
     #chfn +用户名 //修该用户名描述信息（GECOS）
     #finger +用户名 //查看用户的信息（直观）
     #chsh -s /bin/csh +用户名 //修该用户默认的shell类型为csh。也可以·通过直接修改文件来完成，但不安全
     #getent passwd //相当于cat /etc/passwd
     #getent passwd +用户名 //仅显示指定用户的信息
     *passwd中shell类型改为nologin时，表示该账户不需登陆，一般为软件使用。同时在shadow中为该账号添加’!’
7. shadow文件格式
     登录用名
     用户密码:一般用sha512加密。其中，$6代表sha512加密算法，$1代表md5加密算法
     从1970年1月1日起到密码最近一次被更改的时间（离1970年1月1日多少天计算得来 ）
     密码再过几天可以被变更（0表示随时可被变更）
     密码再过几天必须被变更（99999表示永不过期）
     密码过期前几天系统提醒用户（默认为一周）
     密码过期几天后帐号会被锁定
     从1970年1月1日算起，多少天后帐号失效
   #pwconv
   #pwunconv //执行后，passwd中将显示密码，shadow将为空
   #usermod -L +账户名 //锁定账户，即使密码正确也无法登陆。修改密码后，自动解锁
   #usermod -U +账户名 //解锁账户
   #chage +用户名 //修该账户的时间信息
   #chage -M +账户名 //
   #chage -E +账户名 //
   #chage -I +账户名
   *账户的信息中的“！”代表该账户锁定，不能账号登陆；
8. 密码加密
   • 加密机制：
       加密：明文--> 密文
       解密：密文--> 明文
   • 单向加密：哈希算法，原文不同，密文必不同
      相同算法定长输出，获得密文不可逆推出原始数据
      雪崩效应：初始条件的微小改变，引起结果的巨大改变
      md5: message digest, 128bits
      sha1: secure hash algorithm, 160bits
      sha224: 224bits
      sha256: 256bits
      sha384: 384bits
      sha512: 512bits
   • 更改加密算法：
     #authconfig --passalgo=sha256 –update
   • 密码的复杂性策略
     足够长
     使用数字、大写字母、小写字母及特殊字符中至少3种
     使用随机密码
     定期更换,不要使用最近曾经使用过的密码
9. group文件格式
    群组名称：就是群组名称
    群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
    GID：就是群组的 ID
    以当前组为附加组的用户列表(分隔符为逗号)
   #gpasswd +用户名 //添加组密码
   该文件中members的内容必须和group文件中附加组成员相同
   10.文件格式
    群组名称：就是群的名称
    群组密码：
    组管理员列表：组管理员的列表，更改组密码和成员
    以当前组为附加组的用户列表：多个用户间用逗号分隔
10. 文件操作
      vipw和vigr
      pwck和grpck
    #vipw //打开passwd
    #vipw -s //打开shadow
    #vigr //打开group
    #vigr -s //打开gshdow
    #pwck
    #pwck shadow
    #grpck
    #grpck gshadow
11. 用户和组管理命令
    • 用户管理命令
       useradd
       usermod
       userdel
    • 组帐号维护命令
       groupadd
       groupmod
       groupdel
      (1) 用户创建：useradd
      ls /etc/skel/ //其中文件为新建用户的账目模板文件
      新建账户默认创建邮箱
      *默认情况下，新建一个用户时，会同时创建一个同名的组
    • useradd [options] LOGIN
       -u UID
       -o 配合-u 选项，不检查UID的唯一性
       -g GID 指明用户所属基本组，可为组名，也可以GID
       -c "COMMENT“ 用户的注释信息
       -d HOME_DIR 以指定的路径(不存在)为家目录
       -s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中
       -G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
       -N 不创建私用组做主组，使用users组做主组
       -r 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000
       -m 创建家目录，用于系统用户
       -M 不创建家目录，用于非系统用户
      #useradd 新建用户名
      #useradd -u UID 新建用户名
      #useradd -ou UID 新建用户名
      #useradd -g GID 新建用户名
      #useradd -c “COMMENT” 新建用户名 //用户的注释信息
      #useradd -d /home/zhang 新建用户名 //
      #useradd -s /bin/csh 新建用户名 //指明用户的默认shell程序，可用列表在 /etc/shells文件中
      #useradd -G GROUP1[,GROUP2,...] 新建用户名 //为用户指明附加组，组须事先存在
      #useradd -N 新建用户名 //不创建私用组做主组，使用users组做主组
      #useradd -r 新建用户名 //创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000, 不创建家目录
      #useradd -m 新建用户名 //创建家目录，用于系统用户
      #useradd -M 新建用户名 //不创建家目录，用于非系统用户
    • 默认值设定： /etc/default/useradd
    • 显示或更改默认设置
      #useradd -D
      #useradd –D -s SHELL
      #useradd –D –b BASE_DIR
      #useradd –D –g GROUP
    • 新建用户的相关文件和命令
      #cat /etc/default/useradd
      #ll -a /etc/skel/
      #more /etc/login.defs //查看用户默认配置信息
      #newusers passwd格式文件 //批量创建用户
      #chpasswd user_name:password批量修改用户口令
      （2）用户属性修改
    • usermod [OPTION] login
      -u UID: 新UID
      -g GID: 新主组
      -G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项
      -s SHELL：新的默认SHELL
      -c 'COMMENT'：新的注释信息
      -d HOME: 新家目录（之前不存在）不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项
      -l login_name: 新的名字
      -L: lock指定用户,在/etc/shadow 密码栏的增加 !
      -U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
      -e YYYY-MM-DD: 指明用户账号过期日期
      -f INACTIVE: 设定非活动期限
      #usermod -u UID 用户名 //
      (3)删除用户
       userdel [OPTION]... login
       -r: 删除用户家目录
      #userdel -r 用户名 //删除用户
      (4)查看用户相关的ID信息
    • id [OPTION]... [USER]
      -u: 显示UID
      -g: 显示GID
      -G: 显示用户所属的组的ID
      -n: 显示名称，需配合ugG使用
      #id -u
      #id -g
      #id -G
      #id -ng
      (5) 切换用户或以其他用户身份执行命令
    • su [options...] [-] [user [args...]]
    • 切换用户的方式：
      #su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录
      #su - UserName：登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换
    • root su至其他用户无须密码；非root用户切换时需要密码
    • 换个身份执行命令：
      su [-] UserName -c 'COMMAND'
    • 选项：-l --login
      su -l UserName 相当于 su – UserName
      (6) 设置密码
    • passwd [OPTIONS] UserName: 修改指定用户的密码
    • 常用选项：
       -d：删除指定用户密码
       -l：锁定指定用户
       -u：解锁指定用户
       -e：强制用户下次登录修改密码,实际上是修改账户”最近修改密码的时间为0”
       -f：强制操作
       -n mindays：指定最短使用期限
       -x maxdays：最大使用期限
       -i inactivedays：非活动期限
       --stdin：从标准输入接收用户密码
       示例：echo "PASSWORD" | passwd --stdin USERNAME &>/dev/null
       #passwd -l 用户名
      （7）修改用户密码策略
    • chage [OPTION]... LOGIN
       -d LAST_DAY
       -E --expiredate EXPIRE_DATE
       -I --inactive INACTIVE
       -m --mindays MIN_DAYS
       -M –maxdays MAX_DAYS
       -W --warndays WARN_DAYS
      -l 显示密码策略
    • 示例：
       chage -d 0 tom 下一次登录强制重设密码
       chage -m 0 –M 42 –W 14 –I 7 tom
       chage -E 2016-09-10 tom
      （8）用户相关的其它命令
    • chfn 指定个人信息
    • chsh 指定shell
    • finger
      （9）创建组
    • groupadd [OPTION]... group_name
       -g GID 指明GID号；[GID_MIN, GID_MAX]
       -r 创建系统组
       CentOS 6: ID<500
       CentOS 7: ID<1000
      #groupadd -g GID group_name
      (10) 修改和删除组
    • 组属性修改：groupmod
       groupmod [OPTION]... group
       -n group_name: 新名字
       -g GID: 新的GID
    • 组删除：groupdel
       groupdel GROUP
      (11)更改组密码
    • 组密码：gpasswd
    • gpasswd [OPTION] GROUP
       -a user 将user添加至指定组中
       -d user 从指定组中移除用户user
       -A user1,user2,... 设置有管理权限的用户列表
    • newgrp命令：临时切换主组
       如果用户本不属于此组，则需要组密码
      （12）更改和查看组成员
    • groupmems [options] [action]
      options：
      -g, --group groupname //更改为指定组 (只有root
      actions:
      -a, --add username 指定用户加入组
      -d, --delete username 从组中删除用户
      -p, --purge 从组中清除所有成员
      -l, --list 显示组成员列表
      #groupmems -g apps -a tomcat
    • groups [OPTION].[USERNAME]... 查看用户所属组列表
      （13）文件权限
    • 文件属性操作
       chown 设置文件的所有者
       chgrp 设置文件的属组信息

• 修改文件的属主和属组
   修改文件的属主：chown
    chown [OPTION]... [OWNER][:[GROUP]] FILE...
  用法说明：
    OWNER
    OWNER:GROUP
    :GROUP，冒号也可用 . 替换
    -R: 递归
  chown [OPTION]... --reference=RFILE FILE...

• 修改文件的属组：chgrp
   chgrp [OPTION]... GROUP FILE...
   chgrp [OPTION]... --reference=RFILE FILE...
   -R 递归

• 文件的权限主要针对三类对象进行定义
   owner 属主, u
   group 属组, g
   other 其他, o
• 每个文件针对每类访问者都定义了三种权限
   r  Readable
   w  Writable
   x  eXcutable
• 文件：
  r  可使用文件查看类工具获取其内容
  w  可修改其内容
  x  可以把此文件提请内核启动为一个进程
• 目录：
  r  可以使用ls查看此目录中文件列表
  w  可在此目录中创建文件，也可删除此目录中的文件
  x  可以使用ls -l查看此目录中文件元数据（须配合r），可以cd进入此目录
  X  只给目录x权限，不给文件x权限
• 文件权限操作
   文件权限操作命令：chmod
   文件权限（rwx|X）
• 修改文件权限
• chmod [OPTION]... OCTAL-MODE FILE...
    -R: 递归修改权限
• chmod [OPTION]... MODE[,MODE]... FILE...
   MODE：
   修改一类用户的所有权限
   u= g= o= ug= a= u=,g=
   修改一类用户某位或某些位权限
   u+ u- g+ g- o+ o- a+ a- + -
  *chmod [OPTION]... --reference=RFILE FILE...
  参考RFILE文件的权限，将FILE的修改为同RFILE

• 权限设置示例
    chgrp sales testfile
   chown root:admins testfile
   chmod u+wx,g-r,o=rx file
   chmod -R g+rwX /testdir
   chmod 600 file
   chown mage testfile

• 新建文件和目录的默认权限
• umask值 可以用来保留在创建文件权限
   新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1
   新建目录的默认权限: 777-umask
  非特权用户umask是 002
  root的umask 是 022
  umask: 查看
  umask # 设定
    示例：umask 002
      umask u=rw,g=r,o=
  umask –S 模式方式显示
  umask –p 输出可被调用
  *全局设置： /etc/bashrc 用户设置：~/.bashrc

（14）Linux文件系统上的特殊权限

• SUID, SGID, Sticky
  suid:作用于二进制可执行程序，当用户执行此程序时，将会临时继承此程序所有者的权限
  sgid:
  1）作用于二进制可执行程序，当用户执行此程序时，将会临时继承此程序所属组的权限
  2）作用于目录，当用户在此目录下创建新文件时，新建文件的所属组会自动继承此目录的所属组
  stikcy:作用于目录，用户只能删除自已的文件（root也能删除）
• 三种常用权限：r, w, x user, group, other
• 安全上下文
• 前提：进程有属主和属组；文件有属主和属组
  (1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
  (2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
  (3) 进程访问文件时的权限，取决于进程的发起者
  (a) 进程的发起者，同文件的属主：则应用文件属主权限
  (b) 进程的发起者，属于文件属组；则应用文件属组权限
  (c) 应用文件“其它”权限
  （15）可执行文件上SUID权限
• 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
• 启动为进程之后，其进程的属主为原程序文件的属主
• SUID只对二进制可执行程序有效
• SUID设置在目录上无意义
• 权限设定：
    chmod u+s FILE...
    chmod u-s FILE...
  （16）可执行文件上SGID权限
• 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
• 启动为进程之后，其进程的属组为原程序文件的属组
• 权限设定：
   chmod g+s FILE...
   chmod g-s FILE...
  （17）目录上的SGID权限
• 默认情况下，用户创建文件时，其属组为此用户所属的主组
• 一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组
• 通常用于创建一个协作目录
• 权限设定：
   chmod g+s DIR...
   chmod g-s DIR...
  （18）Sticky 位
• 具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
• 在目录设置Sticky 位，只有文件的所有者或root可以删除该文件
• sticky 设置在文件上无意义
• 权限设定：
   chmod o+t DIR...
   chmod o-t DIR...
• 例如：
   ls -ld /tmp
   drwxrwxrwt 12 root root 4096 Nov 2 15:44 /tmp
  （19）
• SUID SGID STICKY
   000 0
   001 1
   010 2
   011 3
   100 4
   101 5
   110 6
   111 7
• chmod 4777 /tmp/a.txt
  （20）权限位映射
• SUID: user,占据属主的执行权限位
   s：属主拥有x权限
   S：属主没有x权限
• SGID: group,占据属组的执行权限位
   s： group拥有x权限
   S：group没有x权限
• Sticky: other,占据other的执行权限位
   t：other拥有x权限
   T：other没有x权限
  （21）设定文件特定属性
• chattr +i 不能删除，改名，更改（包括root）
• chattr +a 只能追加内容
• lsattr 显示特定属性
  #chattr +i 文件名
  #chattr +i 文件名
  #lsattr 文件名 //查看是否有文件特定属性，
  （22）访问控制列表
• ACL：Access Control List，实现灵活的权限管理
• 除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
• CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
• CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
   tune2fs –o acl /dev/sdb1
   mount –o acl /dev/sdb1 /mnt/test
• ACL生效顺序：所有者，自定义用户，自定义组和所属组的累加权限，其他人
• 为多用户或者组的文件和目录赋予访问权限rwx
   mount -o acl /directory
   getfacl file |director //查看权限信息
   setfacl -m u:wang:rwx file|directory //修改wang用户对文件的rwc权限
   setfacl -m g:admins:rw file| directory
   setfacl -x u:wang file |directory
   setfacl -b file1 清除所有ACL权限
   getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2
• mask只影响除所有者和other的之外的人和组的最大权限
   mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)
   用户或组的设置必须存在于mask权限设定范围内才会生效
    setfacl -m mask::rx file
  *使用acl后，修改文件组的权限（chmod g=）实际上修改的是mask，原来组的权限不变
• --set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
  示例：
    setfacl --set u::rw,u:wang:rw,g::r,o::- file1
• 备份和恢复ACL
• 主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息
   getfacl -R /tmp/dir1 > acl.txt //备份
   setfacl -R -b /tmp/dir1 //删除
   setfacl -R --set-file=acl.txt /tmp/dir1 //恢复
   setfacl --restore acl.txt //恢复
   getfacl -R /tmp/dir1
• 使用cp命令复制文件时，需使用参数-p或-a 才能保留住acl