用户、组及权限管理

用户、组及权限管理

一、用户的概念

1、理解Linux多用户，多任务的特性

Linux是一个真实的、完整的多用户多任务的操作系统，多用户多任务就是在系统上建立多个用户，而多个用户可以在同一时登入操作系统执行各自任务操作，互不影响，资源隔离。

2、用户的分类

在Linux下用户可分为二类：

管理员：拥有对系统的最高管理权限，默认是root用户。

普通用户：只能对自己目录下的文件进行访问和修改，登录系统权限。

普通用户：分为登录用户和系统用户

3、用户标识

   UserID，UID

    16bits二进制数字：0-65535

    管理员:0

    普通用户：1-65535

          系统用户：1-499（CentOS6），1-999（CentOS7）

          登录用户:500-60000（CentOS6），1000-60000（CentOS7）

4、用户的相关配置文件

(1)/etc/passwd文件

系统用户配置文件，是用户管理中最重要的文件，这个文件记录了Linux系统中每个用户的一些基本属性，并且对所有用户可读，/etc/passwd中每一行记录对应一个用户，每行记录又被冒号分隔，其格式如下：

name：passed：UID:GID:GECOS:directory：shell

name: 用户名

password：可以是加密的密码，也可是占位符x；

GID：用户所属的主组的ID号；

GECOS：注释信息

directory：用户的家目录；

shell：用户的默认shell，登录时默认shell程序；

(2)/etc/shadow：用户密码

用户影子文件，由于/etc/passwd文件是所有用户都可读的，这样就导致了用户的密码容易出现泄露，因此，Linux将用户的密码信息从/etc/passwd中分离出来，单独的放到了一个文件中，这个文件就是/etc/shadow，该文件只有root用户拥有读权限，从而保证了用户密码的安全性，其格式如下：

用户名:加密的密码:最近一次修改密码的时间:最短使用期限:最长使用期限:警告期段:过期期限:保留字段

（3）认证信息：

通过比对事先存储的，与登录时提供的信息是否一致；

password：

      /etc/shadow

      /etc/gshadow

密码的使用策略：

     1、使用随机密码；

     2、最短长度不要低于8位；

     3、应该使用大写字母、小写字母、数字和标点符号四类字符中至少三类；

     4、定期更换；

（4）加密算法：

    对称加密：加密和解密使用同一个密码；

    非对称加密：加密和解密使用的一对儿密钥；

    密钥对儿：

    钥：public key

    私钥: private key

    单向加密：只能加密，不能解密；提取数据特征码；

    定长输出

     雪崩效应

     算法：

         md5:message digest, 128bits

         sha：secure hash algorithm, 160bits

         sha224

         sha256

         sha384

         sha512

     在计算之时加salt，添加的随机数；

 

二、用户组的概念

1、概念

   用户组（group）就是具有相同特征的用户（user）的集合体；比如有时我们要让多个用户具有相同的权限，比如查看、修改某个文件或执行某个命令，这时我们需要用户组，把用户都定义到同一个用户组，通过修改文件或目录的权限，让用户组具有一定的操作权限，这样用户组下的用户对该文件或目录都具有相同的权限，是我们通过定义组和修改文件的权限来实现的。

2、用户与用户组的对应关系是：

   一对一：某个用户可以是某个组的唯一成员

   多对一：多个用户可以是某个唯一的组的成员，不归属于其它用户组

   一对多：某个用户可以是多个用户组的成员

   多对多：多个用户对应多个用户组，并且几个用户可以是归属相同的组

3、 /etc/group：组的信息库

用户组配置文件，用户组的所有信息都存放在此文件中，其格式如下：

        group_name:password:GID:user_list

        group_name：组名

     password:组密码

     GID：组ID号

        user_list：该组的用户成员；以此组为附加组的用户的用户列表

三、管理命令

1、useradd命令：创建用户

  useradd [选项] 登录名

   -u, --uidUID：指定UID；

  

   -g, --gidGROUP：指定基本组ID，此组得事先存在；

  

   -G,--groups GROUP1[,GROUP2,...[,GROUPN]]]：指明用户所属的附加组，多个组之间用逗号分隔；

   

    -c,--comment COMMENT：指明注释信息；

  

   -d, --homeHOME_DIR：以指定的路径为用户的家目录；通过复制/etc/skel此目录并重命名实现；指定的家目录路径如果事先存在，则不会为用户复制环境配置文件；

  

   -s,--shell SHELL：指定用户的默认shell，可用的所有shell列表存储在/etc/shells文件中；

  

   -M：不为用户创建主目录

  

   -r,--system：创建系统用户；

  

注意：创建用户时的诸多默认设定配置文件为/etc/login.defs       

   useradd -D：显示创建用户的默认配置；

  

   useradd -D选项: 修改默认选项的值；

  修改的结果保存于/etc/default/useradd文件中；

2、usermod命令：修改用户属性

   usermod [选项] 登录

   -u:修改用户的ID为此处指定的新UID

  

   -g：修改用户所属的基本组

  

   -G,--groupsGROUP1[,GROUP2,...[,GROUPN]]]：修改用户所属的附加组：原来的附加组会被覆盖

  

   -a：与-G一同使用，用于为用户追加新的附加组

  

   -d：修改用户的家目录：用户原有的文件不会被转移至新位置

  

   -m：只能与-d选项一同使用，用于将原来的家目录移动为新的家目录

   -l：修改用户名

  

   -s：修改用户的默认shell

  

  -L：锁定用户原来的密码字符串之前添加一个“！”

  

  -U：解锁用户的密码

  

3、userdel命令：删除用户

   userdel[选项] 用户名

  

   -r:删除用户时一并删除其家目录

  

4、passwd命令：

   passwd  [-k] [-l]  [-u  [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [-S][--stdin] [username]

  （1）   passwd：修改用户自己的密码

  

  （2）   passwdUSERNAME：修改指定用户的密码，但仅root有此权限

  

      选项：

         -l，-u：锁定和解锁用户

         -d：清除用户密码串

         -e：过期期限

         -i：非活动期限

         -n：密码最短使用期限

         -x：密码最长使用期限

         -w：警告期限

      --stdin：

          echo "PASSWORD" |passwd --stdin USERNAME                     

  

  

5、gpasswd命令

   给组添加密码:

  

  组密码文件：/etc/gshadow

  

   gpasswd [选项] group

   -aUSERNAME：向组中添加用户

  

   -d USERNAME：从组中移除用户  

                 

6、newgrp命令

   临时切换指定的组为基本组；

          newgrp[-] [group]

          -: 会模拟用户重新登录以实现重新初始化其工作环境

  

7、chage命令

       更改用户过期信息

         chage [选项] 登录名

                -d:上一次密码的修改时间

                -E：过期日期

                -I：非活动期限

                -W：警告期限

                -m：最短使用期限

                -M：最大使用期限

8、id命令

 显示用户的真和有效ID;

        id [OPTION]... [USER]

            选项：

                -u:仅显示有效的UID；

                -g:仅显示用户的基本组ID;

                -G：仅显示用户所属的所有组的ID；

                -n:显示名字而非ID；

  

9、su命令

    登录式切换：会通过读取目标用户的配置文件来重新初始化

               su- USERNAME

               su-l USERNAME

  

   非登录式切换：不会读取目标用户的配置文件进行初始化

                suUSERNAME

  

   注意：管理员可无密码切换至其它任何用户；

    -c'COMMAND'：仅以指定用户的身份运行此处指定的命令；

  

四、权限管理

       ls �Cl

  

        rwxrwxrwx:

          左三位：定义user（owner）的权限

          中三位：定义group的权限

          右三位：定义other的权限

      进程安全上下文：

      进程对文件的访问权限应用模型：

      进程的属主与文件的属主是否相同:如果相同，则应用属主权限，

      否则，则检查进程的属主是否属于文件的属组：如果是，则应用属组权限

   否则，就只能应用other的权限

  1、权限

     r：readable，读

     w：writeable，写

     x：excuteable，执行

   文件：

      r：可获取文件的数据

      w：可修改文件的数据

      x：可将此文件运行为进程

   目录：

      r：可使用ls命令获取其下的所有文件列表，不能包含详细信息

      w：可修改此目录下的文件列表，即创建或删除文件

      x：可cd至此目录中，且可使用ls -l来获取所有文件的详细属性信息

      mode：rwxrwxrwx

      ownership：user，group

   权限组合机制：

           --- 000 0

           --x 001 1

            -w-010 2

            -wx011 3

           r-- 100 4

           r-x 101 5

           rw- 110 6

           rwx 111 7

   2、权限管理命令

    1、 chmod命令：

      三类用户：

           u：属主

           g：属组

           o：其它

           a：所有

    (1)chmod [OPTION]... MODE[,MODE]... FILE...

           MODE表示法：

      赋权表示法：直接操作一类用户的所有权限rwx

            u=，g=，o=，a=

  

  

     授权表示法：直接操作一类用户的一个权限位r，w，x

               u+,u-

               g+,g-

               o+,o-

               a+,a-

  

     (2)chmod[OPTION]... OCTAL-MODE FILE...

                660

  

     (3)chmod [OPTION]... --reference=RFILE FILE...

  

       选项：

           -R,--recursive：递归修改

  

  2、chown命令：

            chown [OPTION]... [OWNER][:[GROUP]] FILE...

  

            chown [OPTION]... --reference=RFILE FILE...

  

  3、chgrp命令：

            chgrp[OPTION]... [OWNER][:[GROUP]] FILE...

            chgrp[OPTION]... --reference=RFILE FILE...

  

  4、umask：文件的权限反向掩码，遮罩码：

               文件：666-umask

               目录：777-umask

注意：之所以文件用666去减，表示文件默认不能拥有执行权限，如果减得的结果中有执行权限，则需要将其加1

           umask：023

            666-023=644

            777-023=754

            umask命令

               umask：查看当前umask

  

               umask MASK：设置umask

  

   注意：此类设定仅对当前shell进程有效

  5、install命令

        install - copy files and set attributes

 

         单源复制：

            install [OPTION]... [-T] SOURCE DEST

         多源复制：

            install [OPTION]... SOURCE... DIRECTORY

            install [OPTION]... -t DIRECTORY SOURCE...

         创建目录

            install [OPTION]... -d DIRECTORY...

        常用选项：

               -m：设定目标文件权限，默认为755

  

               -o：设定目标文件属主

  

                -g：设定目标文件属组

  

                -d:创建目录

  

 6、mktemp命令

        mktemp- create a temporary file or directory

         创建临时目录或临时文件

         mktemp [OPTION]... [TEMPLATE]

             常用选项：

                        -d：创建临时目录

  

                        变量引用：

  

                  -u：测试

  

 注意:mktemp会将创建的临时文件直接返回，因此，可直接通过命令引用保存起来