Linux用户管理

1、用户信息文件：/etc/passwd

[root@bogon ~]# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
apache:x:48:48:Apache:/var/www:/sbin/nologin
saslauth:x:499:76:"Saslauthd user":/var/empty/saslauth:/sbin/nologin
postfix:x:89:89::/var/spool/postfix:/sbin/nologin
haldaemon:x:68:68:HAL daemon:/:/sbin/nologin
abrt:x:173:173::/etc/abrt:/sbin/nologin
avahi:x:70:70:Avahi mDNS/DNS-SD Stack:/var/run/avahi-daemon:/sbin/nologin
tomcat:x:91:91:Apache Tomcat:/usr/share/tomcat6:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
webalizer:x:67:67:Webalizer:/var/www/usage:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologin
[root@bogon ~]# 

1）想知道系统有多少个用户，可以直接使用wc -l /etc/passwd

[root@bogon ~]# wc -l /etc/passwd
28 /etc/passwd
[root@bogon ~]#

2）格式

root:x:0:0:root:/root:/bin/bash

  1：用户名，用户登录系统时使用的用户名

2：密码位

3：UID，用户标识号

4：GID，缺省组标识号

5：注释性描述

6：宿主目录，用户登录系统后的缺省目录

7：用户使用的shell，默认为bash

3）用户类型

Linux用户分三种：

超级用户（root，UID=0）

就是说UID为0的用户都是超级用户，只要把/etc/passwd相应的用户的UID改为0，该用户就变成超级用户了

普通用户（UID 500-60000）

伪用户（UID 1-499）

伪用户与系统和程序服务相关，如bin、daemon、shutdown、halt等，任何Linux系统都默认有这些伪用户；mail、ftp、sshd等，与Linux系统的进程相关；

伪用户通常不需要或无法登录系统；

伪用户可以没有宿主目录

4）用户组

每个用户都至少属于一个用户组

每个用户组都可以包含多个用户

同一用户组的用户享有该组共有的权限

5）为什么密码不放在/etc/passwd中

在早期的Linux系统中，密码是存放在/etc/passwd文件中的，但是每个用户对该文件都有读的权限，这是比较危险的，后来就不存放在这个文件了

[root@bogon ~]# ls -l /etc/passwd
-rw-r--r--. 1 root root 1296 12月  5 04:50 /etc/passwd
[root@bogon ~]# 

2、密码文件 /etc/shadow

[root@bogon ~]# cat /etc/shadow
root:$6$Ri9bO1RH$Tsp2w6VXiZwb1vnTPuF7vxwVhLdYp9E7nHCPHxxaeouaITbBHAZ4d214wACpfBhNgNRxqw/24ph7uSHTiNMIK.:15686:0:99999:7:::
bin:*:15513:0:99999:7:::
daemon:*:15513:0:99999:7:::
adm:*:15513:0:99999:7:::
lp:*:15513:0:99999:7:::
sync:*:15513:0:99999:7:::
shutdown:*:15513:0:99999:7:::
halt:*:15513:0:99999:7:::
mail:*:15513:0:99999:7:::
uucp:*:15513:0:99999:7:::
operator:*:15513:0:99999:7:::
games:*:15513:0:99999:7:::
gopher:*:15513:0:99999:7:::
ftp:*:15513:0:99999:7:::
nobody:*:15513:0:99999:7:::
dbus:!!:15678::::::
vcsa:!!:15678::::::
ntp:!!:15678::::::
apache:!!:15678::::::
saslauth:!!:15678::::::
postfix:!!:15678::::::
haldaemon:!!:15678::::::
abrt:!!:15678::::::
avahi:!!:15678::::::
tomcat:!!:15678::::::
sshd:!!:15678::::::
webalizer:!!:15678::::::
tcpdump:!!:15678::::::
[root@bogon ~]# 

1）如果把/etc/shadow文件中的相应的加密密码删除，那么用户不需要密码就可以登陆系统了

2）格式

root:$6$Ri9bO1RH$Tsp2w6VXiZwb1vnTPuF7vxwVhLdYp9E7nHCPHxxaeouaITbBHAZ4d214wACpfBhNgNRxqw/24ph7uSHTiNMIK.:15686:0:99999:7:::

1：用户名

2：加密密码

3：最有一次修改时间，以天位单位，从1970年1月1日为参考点

4：最小时间间隔，两次修改密码之间的最小天数，为0表示不限制，如改为3，表示间隔3天以上才能修改密码

5：最大时间间隔，密码保持有效的最多天数，超过天数不过密码，则用户无法登录

6：警告时间：从系统开始警告到密码失效的天数

7：账号闲置时间

8：失效时间，密码失效的绝对天数

9：标志，一般不使用

3）其实在设置密码或修改密码时，是先把密码写到/etc/passwd文件中，然后再转化到/etc/shadow文件中

使用密码回显命令可以把密码写回到/etc/passwd文件中

[root@bogon ~]# pwunconv
[root@bogon ~]# grep root /etc/passwd /etc/shadow
/etc/passwd:root:$6$Ri9bO1RH$Tsp2w6VXiZwb1vnTPuF7vxwVhLdYp9E7nHCPHxxaeouaITbBHAZ4d214wACpfBhNgNRxqw/24ph7uSHTiNMIK.:0:0:root:/root:/bin/bash
/etc/passwd:operator:*:11:0:operator:/root:/sbin/nologin
grep: /etc/shadow: 没有那个文件或目录
[root@bogon ~]#

使用pwconv命令将密码转化到/etc/shadow文件中

[root@bogon ~]# pwconv
[root@bogon ~]# grep root /etc/passwd /etc/shadow
/etc/passwd:root:x:0:0:root:/root:/bin/bash
/etc/passwd:operator:x:11:0:operator:/root:/sbin/nologin
/etc/shadow:root:$6$Ri9bO1RH$Tsp2w6VXiZwb1vnTPuF7vxwVhLdYp9E7nHCPHxxaeouaITbBHAZ4d214wACpfBhNgNRxqw/24ph7uSHTiNMIK.:15694:0:99999:7:::
[root@bogon ~]# 

4）/etc/shadow文件只有root用户有读权限，当然root用户也可以用vi修改后使用wq!强制保存

3、了解了用户信息文件，可以不使用useradd命令就可以添加用户

1）使用vi编辑/etc/passwd文件，在最后面添加一个用户

2）手工创建登录后的宿主目录

[root@bogon ~]# mkdir /home/luxh

3）改变宿主目录的所有者为luxh

[root@bogon ~]# chown luxh /home/luxh

4）使用vi编辑/etc/shadow文件，添加用户luxh的信息

luxh::15694:0:99999:7:::

5）可以用luxh用户登录了

我们看到登录的提示符和普通用户不一样，是因为我们还没有把用户的环境变量和配置复制到宿主目录

[root@bogon ~]# ls -a /etc/skel
.  ..  .bash_logout  .bash_profile  .bashrc  .gnome2  .mozilla
[root@bogon ~]# cd /etc/skel
[root@bogon skel]# cp -rf .* /home/luxh
cp: 不会创建指向目录"/home/luxh/." 的硬链接"/home/luxh/skel"
cp：是否覆盖"/home/luxh/.bash_logout"？ 
cp：是否覆盖"/home/luxh/.bash_profile"？ 
cp：是否覆盖"/home/luxh/.bashrc"？ 
[root@bogon skel]# 

再重新用luxh登录，如下：

提示组group ID 501没有找到，是因为刚才手工创建用户的时候，指定的组id并不存在，创建这个组或者指定一个存在的组即可

  4、用户配置文件

1）/etc/login.defs，一些用户信息缺省配置

[root@bogon ~]# cat /etc/login.defs
#
# Please note that the parameters in this configuration file control the
# behavior of the tools from the shadow-utils component. None of these
# tools uses the PAM mechanism, and the utilities that use PAM (such as the
# passwd command) should therefore be configured elsewhere. Refer to
# /etc/pam.d/system-auth for more information.
#

# *REQUIRED*
#   Directory where mailboxes reside, _or_ name of file, relative to the
#   home directory.  If you _do_ define both, MAIL_DIR takes precedence.
#   QMAIL_DIR is for Qmail
#
#QMAIL_DIR      Maildir
MAIL_DIR        /var/spool/mail
#MAIL_FILE      .mail

# Password aging controls:
#
#       PASS_MAX_DAYS   Maximum number of days a password may be used.
#       PASS_MIN_DAYS   Minimum number of days allowed between password changes.
#       PASS_MIN_LEN    Minimum acceptable password length.
#       PASS_WARN_AGE   Number of days warning given before a password expires.
#
PASS_MAX_DAYS   99999
PASS_MIN_DAYS   0
PASS_MIN_LEN    5
PASS_WARN_AGE   7

#
# Min/max values for automatic uid selection in useradd
#
UID_MIN                   500
UID_MAX                 60000

#
# Min/max values for automatic gid selection in groupadd
#
GID_MIN                   500
GID_MAX                 60000

#
# If defined, this command is run when removing a user.
# It should remove any at/cron/print jobs etc. owned by
# the user to be removed (passed as the first argument).
#
#USERDEL_CMD    /usr/sbin/userdel_local

#
# If useradd should create home directories for users by default
# On RH systems, we do. This option is overridden with the -m flag on
# useradd command line.
#
CREATE_HOME     yes

# The permission mask is initialized to this value. If not specified, 
# the permission mask will be initialized to 022.
UMASK           077

# This enables userdel to remove user groups if no members exist.
#
USERGROUPS_ENAB yes

# Use SHA512 to encrypt password.
ENCRYPT_METHOD SHA512 

[root@bogon ~]# 

2）/etc/default/useradd

[root@bogon ~]# cat /etc/default/useradd
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes

[root@bogon ~]# 

5、登录信息 /etc/motd  /etc/issue

1）/etc/issue 登录前的提示信息，修改如下：

Welcome to www.luxh.cnblogs.com
Kernel \r on an \m

2）/etc/modt 登录后的提示信息，修改如下

Hello,man

  6、用户组文件 /etc/group

sys:x:3:bin,adm

sys:组名

x：组密码位，一般不使用

GID：组标识号

bin,adm：组内用户列表

7、用户组密码文件 /etc/gshadow

8、用户组管理命令

1）添加用户组 groupadd

创建用户组webadmin

[root@localhost ~]# groupadd webadmin
[root@localhost ~]# grep webadmin /etc/group
webadmin:x:500:
[root@localhost ~]#

2）设置组密码及管理组内成员 gpasswd

-a 添加用户到用户组

把lihuai添加到root组

[root@localhost ~]# gpasswd -a lihuai root
Adding user lihuai to group root
[root@localhost ~]# grep root /etc/group
root:x:0:lihuai
[root@localhost ~]

-d 把用户从用户组删除

把lihuai从root组删除

[root@localhost ~]# gpasswd -d lihuai root
Removing user lihuai from group root
[root@localhost ~]# grep root /etc/group
root:x:0:
[root@localhost ~]#

-A设置用户组管理员

[root@localhost ~]# grep webadmin /etc/group
webadmin:x:500:lihuai,luxiaofeng
[root@localhost ~]#

把lihuai提升为组管理员，lihuai就可以对组中的用户进行管理

[root@localhost ~]# gpasswd -A lihuai webadmin
[root@localhost ~]#

 

-r 删除用户组密码

-R 禁止用户切换位该组

3）删除用户组 groupdel 组名

4）修改用户组信息 groupmod

修改webadmin组名为nginx

[root@localhost ~]# groupmod -n nginx webadmin

5）newgrp 切换用户组

6）grpck 用户组配置文件检测

7）chgrp 修改文件所属组

8）vigr 编辑/etc/group文件

9、用户管理命令

1）添加用户：useradd 选项 用户名

u:UID

g:缺省所属用户组GID

G：指定用户所属多个组

d：宿主目录

s：命令解释器Shell

c:描述信息

e:指定用户失效时间

[root@localhost ~]# useradd -g webadmin -c "a man" yekai
[root@localhost ~]# grep yekai /etc/passwd
yekai:x:502:500:a man:/home/yekai:/bin/bash
[root@localhost ~]#

2）给用户指定密码 passwd 用户名

[root@localhost ~]# passwd yekai
更改用户 yekai 的密码 。
新的 密码：
重新输入新的 密码：
passwd： 所有的身份验证令牌已经成功更新。
[root@localhost ~]#

3）修改用户信息 usermod

修改yekai的登录名为lihuai

[root@localhost ~]# usermod -l lihuai yekai
[root@localhost ~]# grep lihuai /etc/passwd
lihuai:x:502:500:a man:/home/yekai:/bin/bash
[root@localhost ~]# 

4）把用户添加到一个组中

把lihuai添加到sys组

[root@localhost ~]# usermod -g sys lihuai
[root@localhost ~]# grep sys /etc/group
sys:x:3:bin,adm,lihuai
[root@localhost ~]# 

5）groups 查看用户属于哪些组

[root@localhost ~]# groups lihuai
lihuai : sys webadmin
[root@localhost ~]#

6）pwck 检测/etc/passwd文件

[root@localhost ~]# pwck
user 'adm': directory '/var/adm' does not exist
user 'uucp': directory '/var/spool/uucp' does not exist
user 'gopher': directory '/var/gopher' does not exist
user 'saslauth': directory '/var/empty/saslauth' does not exist
user luxh has an entry in /etc/shadow, but its password field in /etc/passwd is not set to 'x'
pwck：无改变
[root@localhost ~]#

7）vipw 编辑/etc/passwd文件

8）id 查看用户id和组信息

[root@localhost ~]# id
uid=0(root) gid=0(root) 组=0(root)
[root@localhost ~]# 

9）su 切换用户（su - 用户名 ，会切换环境变量）

10）passwd -S 查看用户密码状态

[root@localhost ~]# passwd -S luxh
luxh NP 2012-12-20 0 99999 7 -1 (密码为空。)
[root@localhost ~]# passwd -S lihuai
lihuai PS 2012-12-22 0 99999 7 -1 (密码已设置，使用 SHA512 加密。)
[root@localhost ~]# 

11）who、w 查看当前登录用户信息

[root@localhost ~]# who
root     tty1         2012-12-22 20:02
root     pts/0        2012-12-22 20:32 (192.168.1.65)
[root@localhost ~]# w
 21:12:15 up  1:11,  2 users,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
root     tty1     -                20:02    1:09m  0.04s  0.04s -bash
root     pts/0    192.168.1.65     20:32    0.00s  0.42s  0.01s w
[root@localhost ~]# 

12）锁定用户 usermod -L 用户名 或者 passwd -l 用户名

[root@localhost ~]# grep lihuai /etc/shadow
lihuai:$6$vrCyuC4j$2L2SSGpmT3vVXIRSbm9HqSOGiMw8EQzlCMYi7COQIoLGU2dqS8YvP9FNoGur.qq4k9kj417r7BxFa1zCfbVgk/:15696:0:99999:7:::
[root@localhost ~]# usermod -L lihuai
[root@localhost ~]# passwd -S lihuai
lihuai LK 2012-12-22 0 99999 7 -1 (密码已被锁定。)
[root@localhost ~]# grep lihuai /etc/shadow
lihuai:!$6$vrCyuC4j$2L2SSGpmT3vVXIRSbm9HqSOGiMw8EQzlCMYi7COQIoLGU2dqS8YvP9FNoGur.qq4k9kj417r7BxFa1zCfbVgk/:15696:0:99999:7:::
[root@localhost ~]# 

锁定的原理非常简单，就是在密码前加上一个!

13）恢复用户 usermod -U 用户名 或者 passwd -u 用户名

[root@localhost ~]# passwd -u lihuai
解锁用户 lihuai 的密码 。
passwd: 操作成功
[root@localhost ~]# grep lihuai /etc/shadow
lihuai:$6$vrCyuC4j$2L2SSGpmT3vVXIRSbm9HqSOGiMw8EQzlCMYi7COQIoLGU2dqS8YvP9FNoGur.qq4k9kj417r7BxFa1zCfbVgk/:15696:0:99999:7:::
[root@localhost ~]#

恢复的原理就是把密码前的!去掉

14）删除用户 userdel -r 用户名

-r 删除用户目录

15）chage 设置密码

-l 查看用户密码设置

[root@localhost ~]# chage -l lihuai
Last password change                                    : Dec 22, 2012
Password expires                                        : never
Password inactive                                       : never
Account expires                                         : never
Minimum number of days between password change          : 0
Maximum number of days between password change          : 99999
Number of days of warning before password expires       : 7
[root@localhost ~]# 

-m 密码修改最小天数

-M 密码修改最大天数

-d 密码最后修改日期

-I 密码过期后，锁定账户的天数

-E 设置密码的过期日期，如果为0代表密码立即过期，如果为1，表示永不过期

-W 设置密码过期前，开始提醒的天数

  10、用户组授权

授权用户lihuai和luxiaofeng对目录/software有写权限

1）创建目录

[root@localhost ~]# mkdir /software
[root@localhost ~]# ls -ld /software
drwxr-xr-x 2 root root 4096 12月 22 20:36 /software
[root@localhost ~]#

可以看到普通用户对该目录是没有写权限的

2）添加组softadm

[root@localhost ~]# groupadd softadm
[root@localhost ~]# grep softadm /etc/group
softadm:x:501:
[root@localhost ~]#

3）把用户lihuai和luxiaofeng添加到组softadm中，可以使用useradd或者gpasswd命令

[root@localhost ~]# usermod -G softadm lihuai
[root@localhost ~]# gpasswd -a luxiaofeng softadm
Adding user luxiaofeng to group softadm
[root@localhost ~]# grep softadm /etc/group
softadm:x:501:lihuai,luxiaofeng
[root@localhost ~]#

4）改变目录/software的所属组

[root@localhost ~]# chgrp softadm /software
[root@localhost ~]# ls -ld /software
drwxr-xr-x 2 root softadm 4096 12月 22 20:36 /software
[root@localhost ~]#

5）对目录所属组授予写权限

[root@localhost ~]# chmod g+w  /software
[root@localhost ~]# ls -ld /software
drwxrwxr-x 2 root softadm 4096 12月 22 20:36 /software
[root@localhost ~]# 

这样，属于softadm组的用户对software目录就有写权限了

  11、批量添加用户

1）编写用户信息文件users.info，格式必须按照/etc/passwd文件的格式

luxh01::1001:500::/home/luxh01:/bin/bash
luxh02::1002:500::/home/luxh02:/bin/bash
luxh03::1003:500::/home/luxh03:/bin/bash
luxh04::1004:500::/home/luxh04:/bin/bash
luxh05::1005:500::/home/luxh05:/bin/bash

2）使用newusers命令生成用户信息到/etc/passwd中

[root@bogon ~]# newusers < users.info

再看看/etc/passwd文件，已经生成了5个用户信息

[root@bogon ~]# tail -5 /etc/passwd
luxh01:x:1001:500::/home/luxh01:/bin/bash
luxh02:x:1002:500::/home/luxh02:/bin/bash
luxh03:x:1003:500::/home/luxh03:/bin/bash
luxh04:x:1004:500::/home/luxh04:/bin/bash
luxh05:x:1005:500::/home/luxh05:/bin/bash
[root@bogon ~]#

宿主也自动建好了

[root@bogon ~]# ls /home
lixunxuan   luixaofeng  luxh01  luxh03  luxh05      yekai
lost+found  luxh        luxh02  luxh04  luxiaofeng
[root@bogon ~]# 

3）取消shadow password功能

[root@bogon ~]# pwunconv

4）编写各个用户的密码信息pass.info

luxh01:luxh2012
luxh02:luxh2012
luxh03:luxh2012
luxh04:luxh2012
luxh05:luxh2012

5）使用chpasswd命令导入密码

[root@bogon ~]# chpasswd < pass.info

再看看/etc/passwd文件，已经导入了每个用户的加密密码

[root@bogon ~]# tail -5 /etc/passwd
luxh01:$6$HNISZ/NCfik$1SU2SlFVEV8EyATp8TnyZuEI8/IepIsT.C4VLy3lYAp3mxWbNMv/AnD8Pg6r19yiawEDgauR0RPZ631muPmin.:1001:500::/home/luxh01:/bin/bash
luxh02:$6$u/Xkb/cPPGadi9Sr$XonmMaF5YPi0Xv5TCtevsy7J1HKm0LjTzsz7fW13W4bGypeu5cnsCEilt8H0aNPEOyJaQaEQm7f.i.MzY8ddp.:1002:500::/home/luxh02:/bin/bash
luxh03:$6$uWA0qe.Xl17pM$bfpsOQGrPCye8k28GeQDShS9aLCOHbTHQE.sz0QGDftwJwA2iz8nGJIBgSup2PEUFe.R/.hL7zamdH2876MCj0:1003:500::/home/luxh03:/bin/bash
luxh04:$6$LySSjubg1Y$MNAlyP0VLO9ayp2.9Tzjm/Jc8a.CNqPqUa066XX0qd1aaqDeuOu.z6oaqEhUXUS9UZHPLCX8ACfM.esUmYJf1/:1004:500::/home/luxh04:/bin/bash
luxh05:$6$tbC1ns.7KJVc$kg28HA8bM.JwqHsvbweqFmBpYPRaCqMyW/3Y9wo3YnSYWLTCx9a2Vo1gdMVsLAkKI8iU86bM7vF4e6wyA/r.e.:1005:500::/home/luxh05:/bin/bash
[root@bogon ~]# 

6）开启shadow password功能，把密码转换到/etc/shadow文件中

[root@bogon ~]# pwconv

再查看/etc/passwd文件，

[root@bogon ~]# tail -5 /etc/passwd
luxh01:x:1001:500::/home/luxh01:/bin/bash
luxh02:x:1002:500::/home/luxh02:/bin/bash
luxh03:x:1003:500::/home/luxh03:/bin/bash
luxh04:x:1004:500::/home/luxh04:/bin/bash
luxh05:x:1005:500::/home/luxh05:/bin/bash
[root@bogon ~]# 

查看/etc/shadow文件

[root@bogon ~]# tail -5 /etc/shadow
luxh01:$6$HNISZ/NCfik$1SU2SlFVEV8EyATp8TnyZuEI8/IepIsT.C4VLy3lYAp3mxWbNMv/AnD8Pg6r19yiawEDgauR0RPZ631muPmin.:15697:0:99999:7:::
luxh02:$6$u/Xkb/cPPGadi9Sr$XonmMaF5YPi0Xv5TCtevsy7J1HKm0LjTzsz7fW13W4bGypeu5cnsCEilt8H0aNPEOyJaQaEQm7f.i.MzY8ddp.:15697:0:99999:7:::
luxh03:$6$uWA0qe.Xl17pM$bfpsOQGrPCye8k28GeQDShS9aLCOHbTHQE.sz0QGDftwJwA2iz8nGJIBgSup2PEUFe.R/.hL7zamdH2876MCj0:15697:0:99999:7:::
luxh04:$6$LySSjubg1Y$MNAlyP0VLO9ayp2.9Tzjm/Jc8a.CNqPqUa066XX0qd1aaqDeuOu.z6oaqEhUXUS9UZHPLCX8ACfM.esUmYJf1/:15697:0:99999:7:::
luxh05:$6$tbC1ns.7KJVc$kg28HA8bM.JwqHsvbweqFmBpYPRaCqMyW/3Y9wo3YnSYWLTCx9a2Vo1gdMVsLAkKI8iU86bM7vF4e6wyA/r.e.:15697:0:99999:7:::
[root@bogon ~]#

真正批量添加用户其实可以用shell脚本来做。上面的步骤只是可以更加清晰的理解添加用户的过程。

12、限制特定用户才可以使用su命令

1）添加组sugroup

[root@bogon ~]# groupadd sugroup

2）去掉su命令的其他人的可执行权限

[root@bogon ~]# ls -l /bin/su
-rwsr-xr-x. 1 root root 30092 6月  22 2012 /bin/su
[root@bogon ~]# 

去掉其他人的可执行权限，只让所有者和所属组有可执行权限

[root@bogon ~]# chmod 4550 /bin/su
[root@bogon ~]# ls -l /bin/su
-r-sr-x---. 1 root root 30092 6月  22 2012 /bin/su
[root@bogon ~]# 

3）把su命令的所属组改成sugroup

[root@bogon ~]# chgrp sugroup /bin/su
[root@bogon ~]# ls -l /bin/su
-r-xr-x---. 1 root sugroup 30092 6月  22 2012 /bin/su
[root@bogon ~]#

4）把允许使用su命令的用户添加到sugroup组中

[root@bogon ~]# usermod -G sugroup luxh01
[root@bogon ~]# usermod -G sugroup luxh02
[root@bogon ~]# 

13、用sudo替代su

在执行sudo命令时，临时成为root

不会泄露root口令

仅向用户提供有限的命令使用权限

1）配置文件： /etc/sudoers，编辑配置文件命令：visudo

普通用户使用命令sudo

格式：用户名（组名） 主机地址=命令（绝对路径）

2）现在想让用户lihuai有添加、删除用户的权限

2.1）确定useradd命令的绝对路径

[root@bogon ~]# which useradd
/usr/sbin/useradd
[root@bogon ~]#

 

[root@bogon ~]# which userdel
/usr/sbin/userdel
[root@bogon ~]# 

2.2）使用visudo编辑，添加下面的内容，bogon是我的计算机名

lihuai bogon=/usr/sbin/useradd,/usr/sbin/userdel

2.3）切换到lihuai，添加用户

[root@bogon ~]# su - lihuai
[lihuai@bogon ~]$ 
[lihuai@bogon ~]$ sudo /usr/sbin/useradd cnblogs001
[lihuai@bogon ~]$ grep cnblogs /etc/passwd
cnblogs001:x:1006:1006::/home/cnblogs001:/bin/bash
[lihuai@bogon ~]$

2.4）查看可以使用sudo执行哪些命令

[lihuai@bogon ~]$ sudo -l
Matching Defaults entries for lihuai on this host:
    requiretty, !visiblepw, always_set_home, env_reset, env_keep="COLORS
    DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS", env_keep+="MAIL PS1
    PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE
    LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL
    LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

User lihuai may run the following commands on this host:
    (root) /usr/sbin/useradd, (root) /usr/sbin/userdel
[lihuai@bogon ~]$ 

3）现在想让一个普通用户完全管理Apache服务器

a、编辑Apache配置文件

b、使用Apache启动脚本

c、更新网页

3.1）要让普通实现a功能，可以有以下三种方式

[root@bogon ~]# ls -l /etc/httpd/conf/httpd.conf
-rw-r--r--. 1 root root 34418 2月   7 2012 /etc/httpd/conf/httpd.conf
[root@bogon ~]# 

改变配置文件的所有者

改变配置文件的所属组，把用户加入组中，授予组写（w）权限

使用visudo： 用户  地址=/bin/vi /etc/httpd/conf/httpd.conf

这里使用sudo

lihuai bogon=/bin/vi /etc/httpd/conf/httpd.conf

这样用户lihuai就可以编辑Apache的配置文件了

3.2）使用Apache启动脚本

[root@bogon ~]# /etc/rc.d/init.d/httpd
Usage: httpd {start|stop|restart|condrestart|try-restart|force-reload|reload|status|fullstatus|graceful|help|configtest}
[root@bogon ~]# 

只允许用户使用start、reload、fullstatus、configtest

lihuai bogon=/etc/rc.d/init.d/httpd start,/etc/rc.d/init.d/httpd reload,/etc/rc.d/init.d/httpd fullstatus,/etc/rc.d/init.d/httpd configtest

可以看到，使用sudo，使得权限分配可以非常的精细化。

[root@bogon ~]# su - lihuai
[lihuai@bogon ~]$ sudo /etc/rc.d/init.d/httpd start
[sudo] password for lihuai: 
正在启动 httpd：httpd: apr_sockaddr_info_get() failed for bogon
httpd: Could not reliably determine the server's fully qualified domain name, using 127.0.0.1 for ServerName
[确定]
[lihuai@bogon ~]$ sudo /etc/rc.d/init.d/httpd stop
Sorry, user lihuai is not allowed to execute '/etc/rc.d/init.d/httpd stop' as root on bogon.
[lihuai@bogon ~]$ 

3.3）更新网页

让普通用户对/var/www/html目录有写权限即可：

改变该目录所有者

改变该目录的所属组，把用户加入组中，授予组写（w）权限