用户组和权限管理

一、3A认证

    Authentication：认证

    Autherization：授权

    Accoutiong|Audition：审计

二、用户user 

    linux用户：username/UID

    管理员：root，uid为0

    普通用户：1-65535

        系统用户：1-499（CentOS6），1-999（CentOS7）

            对守护进程获取资源进行权限分配

        登录用户：500+（CentOS6），1000+（CentOS7）

            交互式鞥路

    touch /etc/nologin,除了root用户都不让登录

三、组group

    linux组：groupname/GID

    管理员组：root，gid为0

         系统组：1-499（CentOS6），1-999（CentOS7）

         普通组：500+（CentOS6），1000+（CentOS7）

    存放在：/etc/login.defs

    安全上下文：（security context）

        运行中的程序：进程（process）

        以进程发起者的身份运行，进程所能够访问资源取决于进程的运行者的身份。

    组的类别：

        用户的主要组：主组（primary group）

            用户必须属于一个且只有一个主组

            组名同用户名，且仅包含一个用户：私有组

        用户的附加组：辅助组（secondart group）

            一个用户可以属于零个或多个辅助组

    查看用户所在组信息：groups username     

[user1@localhost dir]$ groups user1
user1 : user1 wang

    查看用户uid，组的gid：id username     

[user1@localhost dir]$ id user1
uid=1003(user1) gid=1003(user1) groups=1003(user1),1005(wang)

四、用户和组的配置文件

    /etc/passwd：用户及其属性信息 

    /etc/group：组及其属性信息   

    /etc/shadow：用户密码及其相关属性

    /etc/gshadow：组密码及其相关属性

    

    passwd文件格式

        login name：登录用户

        passwd：密码（x）

        uid：用户身份编号

        gid：登录默认所在组编号

        gecos：用户全名或注释

        home directory：用户家目录

        shell：用户默认使用shell

[root@localhost testdir]# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash

    shadow文件格式

        登录用户名

        用户密码：一般用sha512加密

        从1970年1月1日其到密码最近一次被改变的时间

        密码再过几天可以被变更（0表示随时可被变更）

        密码再过几天必须被变更（99999表示永不过期）

        密码过期前几天系统提醒用户（默认为一周）

        密码过期几天后帐号会被锁定

        从1970年1月1日算起，多少天后帐号失效

[root@localhost testdir]# cat /etc/shadow
root:$6$2mjLumhZ$RDpz5SHbdHapxz4MyOX90KQG3pUVGYi5ZJcJMCgFIJCnz75n9YsHxb2xFGKaMel2NARB7VKlrJmZuW5F7Hsgp1:17008:0:99999:7:::

    group文件格式

        群组名称

        群组密码：通常不需要设定，密码是被记录在/etc/gshadow

        gid：就是群组的id

        以当前组为附加组的用户列表（分隔符为逗号）

[root@localhost testdir]# cat /etc/group
root:x:0:

    gshadow文件格式

        群组名称

        群组密码

        组管理员列表：组管理员的列表，更改组密码个成员

        以当前组的附加组的用户列表（分隔符为逗号）

[root@localhost testdir]# cat /etc/gshadow
root:::

五、密码加密

    加密机制

        加密：明文–>密文

        解密：密文–>明文

    单项加密：哈希算法，原文不通，密文必不通

    相同估算法定长输出，获得密文不可逆推出原始数据

    雪崩效应：初始条件的微小改变，引起结果的巨大改变。

        md5：128bits

        sha1：安全哈希算法（secure hash algoritm）160bits

        sha224：224bits

        sha256：256bits

        sha384：384bits

        sh512：512bits

    更改加密算法：authconfig –passalgo=md5 –update

    

    密码的复杂性策略

        使用数字，大写字母，小写字母及特殊字符中至少三种

        足够长

        使用随机密码

        定期更换，不要使用曾经使用过的密码

    

六、更改文件操作

    vipw和vigr 当安全格式不对，退出时会报错

    pwck和grpck 检查语法

七、用户管理命令

    用户管理命令

        useradd：创建用户

        usermod：修该用户信息

        userdel：删除用户

    组帐号管理命令

        groupadd：创建组

        groupmod：修改组信息

        groupdel：删除组

    

    用户创建useradd

        useradd option username

            -u：uid

            -o：配合-u选项，不检查uid的唯一性

            -g：gid，指明用户所属主组，可为组名

            -c：用户的注释信息

            -d：以指定的路径（不存在）为家目录

            -s 指明用户的默认shell 

            -G：为用户指明附加组，组必须事先存在

            -N：创建用户不创建主组，使用users组做主组

            -r：创建系统用户

[root@localhost testdir]# useradd -u 1000 -g test -c "iamwang" -d /home/wang -s /bin/bash wang
[root@localhost testdir]# getent passwd wang
wang:x:1000:1004:iamwang:/home/wang:/bin/bash

        默认值设定存放在：/etc/default/useradd

            显示或更改默认设置：useradd -D

[root@localhost testdir]# useradd -D
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes

        新建用户的相关文件

            /etc/default/useradd

            /etc/skel/*

            /etc/login.defs

        批量创建用户命令

            newusers userfile

            cat passwdfile | chpasswd

            

    用户属性修改

        usermod option username

            -u：uid

            -g：主组

            -G：附加组，原来的附加组将会被覆盖，若想保留原有附加组，要同事使用-a选项，表示附加。

            -s：shell

            -c：用户注释

            -d：家目录不会自动创建，原家目录中的文件不会同时移动到新的家目录，若创建家目录并移动原家数据，同时使用-m选项

            -l：新用户名

            -L：lock指定用户，在/etc/shadow密码栏增加！

            -U：unlick指明用户，将/etc/shadow密码栏的！去掉

            -e 年-月-日：指明用户口令过期时间

            -f：设定非活动期限

[root@localhost testdir]# usermod -u 1111 -g root -s /bin/csh -c "iamlaowang" -l laowang -d /testdir/wang -m wang
[root@localhost testdir]# getent passwd laowang
laowang:x:1111:0:iamlaowang:/testdir/wang:/bin/csh

    删除用户

        userdel option username

            -r：删除用户家目录

[root@localhost testdir]# userdel -r laowang

    查看用户相关的id信息

        id option username

            -u：uid

            -g：gid

            -G：组

            -n：名字

    用户相关的其他命令

        chfn：指定个人信息

        chsh：指定shell

        finger

八、切换用户或其他用户身份执行命令

    su option – username

    切换用户的方式：

        su username：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，保留当前用户的工作环境

        su – username：登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换

    root su 至其他用户无需密码，非root用户切换是需要密码

    换个身份执行命令

    su – username -c ‘command’

九、设置密码

    passwd option username 修改指定用户的密码，仅root用户权限

    passwd 改变自己密码

        -l：锁定指定用户

        -u：解锁指定用户

        -e：强制用户下次登录修改密码

        -n mindays：最短使用期限

        -x maxdiys：最大使用期限

        -w warndats：提前多少天开始警告

        -i inactivedats：非活动期限

        –stdin：从标准输入接受用户密码

            ehco“passwd” | passwd –stdin username

十、修改用户密码策略

    chage option login

        -d：最后一天

        -E：–expiredate 有效期

        -I：– inactive 非活动期限

        -m：–mindays 最短使用期限

        -M：–maxdays 最大使用期限

        -W：–warndays 提钱多少天开始警告

        -l：显示密码策略

    下一次登录强制重设密码

        chage -d 0 username

        chage -m 0 -M 42 -W 14 -I 7 username

        chage -E 年-月-日 username

十一、组管理命令

    创建组

        groupadd option groupname

            -g：指定gid号

            -r：创建系统组

[root@localhost testdir]# groupadd -g 1234 wang
[root@localhost testdir]# getent group wang
wang:x:1234:

    组属性修改

        groupmod option groupname

            -g：gid号

            -n：新名字

[root@localhost testdir]# groupmod -g 4321 -n laowang wang
[root@localhost testdir]# getent laowang
Unknown database: laowang

    组删除

        groupdel groupname

[root@localhost testdir]# groupdel laowang

十二、更改组密码，添加和移除组成员

    gpasswd option username groupname

        -a username：将用户添加至指定组中

        -d username：从指定组中移除用户user

        -A user1，user2：设置用管理权限的用户的列表

groupadd laowang
[root@localhost testdir]# useradd xiaowang
[root@localhost testdir]# gpasswd -a xiaowang laowang
Adding user xiaowang to group laowang
[root@localhost testdir]# getent group laowang
laowang:x:1006:xiaowang
[root@localhost testdir]# gpasswd -d xiaowang laowang
Removing user xiaowang from group laowang
[root@localhost testdir]# getent group laowang
laowang:x:1006:

    newgrp：临时切换基本组

        如果用户本不属于此组，则需要组密码

十三、更改和查看组成员

    groupmems option action

         option

            -g:–group groupname 更改为指定组（只有root）

        action

            -a：–add username 指定用户加入组

            -d：–delete username 从组中删除用户

            -p：–purge 从组中清除所有成员

            -l：–list 显示组成员列表

    查看用户所属组列表：groups option username

十四、文件权限

    修改文件的属性

        chown option owner:group file

[root@localhost testdir]# touch file1
[root@localhost testdir]# ll file1
-rw-r--r-- 1 root root 0 Aug  4 03:30 file1
[root@localhost testdir]# chown 1:wang file1
[root@localhost testdir]# ll file1
-rw-r--r-- 1 1 wang 0 Aug  4 03:30 file1

        chown option –reference=rfile file  参考rfile，把file属主改成与rfile一样

[root@localhost testdir]# touch file2
[root@localhost testdir]# ll file2
-rw-r--r-- 1 root root 0 Aug  4 03:32 file2
[root@localhost testdir]# chown --reference=file1 file2
[root@localhost testdir]# ll file2
-rw-r--r-- 1 1 wang 0 Aug  4 03:32 file2

        命令中的冒号可用.代替

            -R:递归

    

    修改文件属组

        chgrp potion group file

[root@localhost testdir]# touch file1
[root@localhost testdir]# ll
total 0
-rw-r--r-- 1 root root 0 Aug  4 03:33 file1
[root@localhost testdir]# chgrp wang file1
[root@localhost testdir]# ll
total 0
-rw-r--r-- 1 root wang 0 Aug  4 03:33 file1

        chgrp option –reference=rfile file  参考rfile，把file属组改成与rfile一样

[root@localhost testdir]# touch file2
[root@localhost testdir]# ll file2
-rw-r--r-- 1 root root 0 Aug  4 03:35 file2
[root@localhost testdir]# chgrp --reference=file1 file2
[root@localhost testdir]# ll
total 0
-rw-r--r-- 1 root wang 0 Aug  4 03:33 file1
-rw-r--r-- 1 root wang 0 Aug  4 03:35 file2

            -R：递归

    

      owner 修改所有者

      owner:group修改所有者和所属组

      :group 修改所属组

    文件的权限主要针对三类对象进行定义

        owner：属主，用u来表示

        group：属组，用g来表示

        other：其他，用o来表示

    每个文件针对每类访问者都定义了三种权限

        r：Readable

        w：Writable

        x：eXcutable

    三种权限对文件和目录的意义

        文件

            r：可使用文件查看类工具获取其内容

            w：可修改内容，但不能删除文件本身

            x：针对二进制程序或脚本，可以把次文件提请内核启动为一个进程

            X：本身没有x权限，将不会增加

        目录

            r：可以查看文件列表，但不能访问文件，不能进入目录，也不能查看文件的元数据

            w：可以创建或删除目录中文件，

            x：可以进入目录，可以访问目录中文件

            X：与x等价

十五、修改文件权限

    chmod option catalmode file  八进制数值修改权限

[root@localhost testdir]# ll
total 0
-rw-r--r-- 1 root wang 0 Aug  4 03:33 file1
-rw-r--r-- 1 root wang 0 Aug  4 03:35 file2
[root@localhost testdir]# chmod 777 file1
[root@localhost testdir]# ll
total 0
-rwxrwxrwx 1 root wang 0 Aug  4 03:33 file1
-rw-r--r-- 1 root wang 0 Aug  4 03:35 file2

    chmod option mode file  mode修改权限

[root@localhost testdir]# chmod ug+x file2
[root@localhost testdir]# ll
total 0
-rwxrwxrwx 1 root wang 0 Aug  4 03:33 file1
-rwxr-xr-- 1 root wang 0 Aug  4 03:35 file2

        mode：

            修改一类用户的所有权限

            u=主，g=组，o=其他，a=所有

            修改用户的所有权限

            u+u-，g+g-,o+o-,a+a-,

        -R：递归

    chmod option –reference=rfile file  参考rfile文件的权限，将file的权限修改为同file的权限

[root@localhost testdir]# ll
total 0
-rwxrwxrwx 1 root wang 0 Aug  4 03:33 file1
-rwxr-xr-- 1 root wang 0 Aug  4 03:35 file2
[root@localhost testdir]# chmod --reference=file1 file2
[root@localhost testdir]# ll
total 0
-rwxrwxrwx 1 root wang 0 Aug  4 03:33 file1
-rwxrwxrwx 1 root wang 0 Aug  4 03:35 file2

十六、新建文件和目录的默认权限

    umask从目录或文件上屏蔽掉最大相应的位，从而得出默认权限

    umask值，可以用来保留在创建文件权限

    新建文件权限：666-umask

        如果所得结果某位存在奇数权限，则将其权限+1

    新建目录权限：777-umask

    非特权权限用户umask是002

    root的umask是022

        umask：查看

        umask 八进制数值：设定

        umask -S：以模式的方式显示

        umask -p：输出可被调用

    全局设置存放在/etc/bashrc

    用户设置存放在~/.bashrc

[root@localhost testdir]#  umask
0022
[root@localhost testdir]#  umask -S
u=rwx,g=rx,o=rx
[root@localhost testdir]# umask 111
[root@localhost testdir]#  umask
0111