用户组和权限详解

Posted 2020-10-01

一、用户user

    在Linux系统上，用户管理是基于用户名和密码的方式进行资源的分配，Linux上的用户即Username/UID分为以下类别：

        管理员：root,0；

        普通用户：1-65535；

    普通用户又分为：系统用户和登录用户两种；

        系统用户：1-499（centos6系统）1-999（centos7系统）对守护进程获取资源进行权限分配；

        登录用户：500+（centos6系统） 1000+（centos7系统）通过交互式方式登录；

二、组

    Linux组：groupname/GID

        管理员组：root，0

        普通组：1-65535

    普通组又分为：系统组和非系统组，我们通常把非系统组就叫普通组；

        系统组：1-499（centos6系统）1-999（centos7系统）

        普通组：500+（centos6系统） 1000+（centos7系统）

    组的类别

        用户的主组

            用户必须属于一个且只有一个主组；

            组名与用户名相同，且仅包含一个用户，也叫私有组；

        用户的附加组（辅助组）

            一个用户可以属于零个或多个附加组；

三、安全上下文

    运行中的程序：进程（process）；

    以进程发起者的身份运行：

        root:/bin/cat；

        wu:/bin/cat；

    进程所能够访问资源的权限取决于进程运行者的身份；

四、用户和组的配置文件

    Linux用户和组的主要配置文件：

        /etc/passwd：用户及其属性信息（名称，UID，主组ID等）；

        /etc/group：组及其属性信息；

        /etc/shadow：用户密码及其相关属性；

        /etc/gshadow：组密码及其相关属性；

五、/etc/passwd文件格式

    login name：登录用户名；

    passwd：密码（x）；

    UID：用户身份编号（1000）

    GID：登录默认所在组编号（1000）

    GECOS:用户的详细说明信息；

    home directory：用户的家目录

    shell:用户默认使用shell（/bin/bash）

六、/etc/shadow文件格式

    登录用户名；

    加了密的密码：一般用sha512加密；

    最近一次更改密码的日期：从1970年1月1日期；

    密码再过几天可以被变更（0表示随时可被变更)；

    密码再过几天必须被变更（99999表示永不过期）；

    密码过期前几天系统提醒用户（默认为一周）；

    密码过期几天后账号会被锁定；

    账户的过期日期：从1970年1月1日算起，多少天后账号失效；

    保留字段；

七、/etc/group文件格式

    组名；

    组密码：通常不需要设定，密码是被记录在/etc/gshadow；

    组id；

    以当前组为附加组的用户列表（如果有多个，则用逗号隔开）；

八、/etc/gshadow文件格式

    组名；

    组密码；

    组管理员列表：组管理员的列表，更改组密码和成员；

    以当前组为附加组的用户列表（如果有多个，则用逗号隔开）；

九、密码加密

    密码加密解密机制：

        加密：明文--->密文

        解密：密文--->明文

    单向加密：提取数据的指纹；

    算法有：md5,sha1,sha224,sha256,sha384,sha512；

    密码在加密过程中存在雪崩效应，所谓雪崩效应是指初始的条件的微小变动，将会引起结果的巨大改变；

    更改加密算法：authconfig - -passalgo=sha512 - -update

    Linux系统当中的密码采用定长格式输出，如下：                                            $6$G.oHUezroD7c.nab$.nlbNZ1IwrA9FabkBLMTFOjMGlu04mZmROXm5HdA5pfK9GLw36hr5KvGmNAuT2eq1ikz8ileDgp.o9u15BW5e0  

    其中,

        $：为分隔符；

        6：表示加密算法；   

        G.oHUezroD7c.nab：表示salt；

    密码的复杂性策略

        1 使用数字、大写字母、小写字母及特殊字符中至少3种；

        2 足够长；

        3 使用随机密码；

        4 定期更换，不要使用最近使用过的密码；

十、useradd命令

    useradd:创建用户

    格式：useradd [OPTION] login

    OPTION:

        -u UID；

        -o:配合-u选项，不检查UID的唯一性；

        -g GID：指明用户所属基本组，可为组名，也可以GID；

        -c "COMMENT"：用户的注释信息；

        -d HOME_DIR:以指定的路径为家目录；

        -s SHELL:指明用户的默认shell程序，可用列表在/etc/shells文件中；

        -G GROUP1 [GORUP2...]:为用户指明附加组，组必须事先存在；

        -N:不创建私用组做主组，使用user组做主组；

        -r:创建系统用户（centos6:ID<500,centos7:ID<1000）

    eg1:useradd tom(创建用户时不设置密码系统默认不让登入，在/etc/shadow文件里用两个!!表示)

                

    eg2:也可以用命令设置不让用户登入，usermod -L tom（加锁，不让tom用户登入）；usermod -U tom(解锁)，如果tom用户没有设置密码，使用-U解锁时会有个报错信息，给tom设置个密码就行了；

                

    eg3:useradd -u 1234 zhang：创建zhang用户并制定UID；getent passwd root：查看指定用户配置文件信息（getent=cat /etc/passwd）

                

    eg4：useradd -ou 1234 wang（不检查用户UID唯一性）

                

    eg5：useradd -g wang li（指明用户所属组）；groups li：查看用户属于哪个组

                

    eg6: useradd -G wang,root,bin zhao（指明用户附加组）

                

    eg7:useradd -d /testdir/zhou zhou(指明用户家目录)

                

    ge8: useradd -s /sbin/nologin mysql(禁止用户登录)

                

    eg9：useradd -s /bin/csh hehe（指明用户shell类型）

                

    eg10: useradd -rs /sbin/nologin httpd（创建系统用户并禁止登陆），创建系统用户不会生成家目录；

                

    eg11： useradd -N haha（指明不和用户名一样的组做主组，使用user做主组）

                

    eg12: useradd -c "welcome to xix space" xixi（用户注释信息）

                                                                                          

十一、新建用户相关文件和命令

    1 /etc/skel:用户家目录的模板文件；

    2 /etc/default/useradd：创建用户时的默认属性在文件中用定义；可以使用useradd -D（相当于cat /etc/default/useradd）来修改默认设置，例如：useradd -D -S /bin/csh（修改系统默认shell）；

    3 /etc/login.defs:定义一些密码的最小有效期、密码到期默认时间、密码最大有效期等；

    4 newusers：批量创建用户，格式要和/etc/passwd配置文件一样；

        4.1 vim user.txt

        4.2 添加用户，如图所示：

                

        4.3 newusers user.txt（批量创建用户）

    5 chpasswd:批量修改用户口令

        5.1 vim pass.txt

        5.2 添加用户名和密码，格式为username:passwd，如图所示：

                    

        5.3 cat pass.txt | chpasswd（批量修改用户口令）；

        5.4 用刚创建的用户登录时可以登陆进去，例如：user3，但是家目录缺少一些文件，运行cp -r /etc/skel/. /testdir/user3或cp -r /etc/skel/.[^.]* /testdir/user3，退出重新登录即可；    

十二、usermod命令

    usermod：修改用户属性

    格式：usermod [OPTION] login

    OPTION:        

        -u UID: 新UID；

        -g GID: 新基本组；

        -G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项，表示append；

        -s SHELL：新的默认SHELL；

        -c ‘COMMENT‘：新的注释信息；

        -d HOME: 新家目录不会自动创建，原家目录中的文件不会同时移 动至新的家目录；若要创建新家目录并移动原家数据，同时使用-m选项；

        -l login_name: 新的名字；

        -L: lock指定用户,在/etc/shadow 密码栏的增加 !；

        -U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉；

        -e YYYY-MM-DD: 指明用户账号过期日期；

        -f INACTIVE: 设定非活动期限；

    示例： 

    eg:

        [[email protected]]#usermod -u2017 -g wang -G root,bin -s /bin/csh -d /testdir/gentoohome -m-l gentooboom -e 2017-07-31 -f 5 gentoo

        [[email protected] home]#getent passwd gentooboom

gentooboom:x:2017:1235:Gentoo dir:/testdir/gentoohome:/bin/csh

        [[email protected] home]#groups gentooboom

gentooboom : wang root bin

        [[email protected]]#  getent shadow gentooboom                                

gentooboom:!!:17378:0:99999:7:5:17378:

        [[email protected] home]#usermod -G "" gentooboom  ###清空附加组

        [[email protected] home]#groups gentooboom

gentooboom : wang

 十三、userdel命令

    Usheredl：删除用户

    格式：usheredl [OPTION]… login

    OPTION:

        -r：删除用户家目录；

十四、id命令

    Id:查看用户相关信息；

    Id [OPTION]… [user]

    -u：UID

    -gagged

    -Groups

    -name

十五、su命令

    Su:切换用户或其他用户身份执行命令；

    格式：so [OPTIONS…] [-] [user [rags…]]   

    切换用户的方式：

        Su username：非登录时切换，即不会读取目标用户的配置文件，不改变当前工作目录；

        Su - username:登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换；

        root so至其他用户无需密码，非root用户切换时需要密码；

    OPTION:

        -l –login:指定登录用户名

            eg：so -l username 相当于so - username

十六、Passwd命令

    Passwd设置密码,仅root用户权限

    格式：passwd [OPTIONS] username

    Passed:修改自己的密码

    OPTION：

        -l：锁定指定用户

        -u:解锁指定用户

        -e:强制用户下次登录修改密码

        -n middays:指定最短使用期限；

        -x maydays:最大使用期限；

        -w warn days:提前多少天开始警告；

        -I inactive days:非活动期限；

        - -stdin:从标准输入接收用户密码；

            eg：echo centos7 | passwd - -stdin username

十七、chage命令

    chage:修改用户密码策略

    格式：chage [OPTION]… LOGIN

    OPTION:

        -d LAST_DAY（上一次更改的日期）

        -E: --expire date EXPIRE_DATE（账号到期日期）

        -I, --inactive INACTIVE（非活动期限）

 -m, --middays MIN_DAYS（密码可更改的最小天数）

 -M, --maydays MAX_DAYS（保持密码有效的最大天数）

 -W, --warn days WARN_DAYS（用户密码到期前，提前收到警告信息天数）

–l，显示密码策略

示例：

Change -d 0 tom 下一次登录强制重设密码

change -m 0 –M 42 –W 14 –I 7 tom

change -E 2016-09-10 tom

十八、groupadd命令

    groupadd：创建组

    格式：groupadd [OPTION]… group name

    OPTION:

        -g GID:指明GID号

        -r：创建系统组；

            Centos6：ID<500

            Centos7：ID<1000

十九、groupmod命令

    groupmod：组属性修改

    格式：groupmod [OPTION]… group

    OPTION:

        -n group_name:新名字

        -g GID:新的GID

            eg1：修改组名

            

二十、groupdel命令

    groupdel：删除组

    格式：groupdel GROUP

二十一、gpasswd命令

    gpasswd：更改组密码

    格式：gpasswd [OPTION] GROUP

    OPTION:

        -a user:将user添加至指定组中；

        -d user:从指定组中移除用户user

        -A user1，user2…：设置有管理权限的用户列表

            eg1：添加用户到组里

                

二十二、newgrp命令

    newgrp:临时切换基本组

        如果用户本不属于此组，则需要密码；

二十三、groupmems命令

    groupmems:查看和更改组成员

    格式：groupmems [OPTION] [action]

    OPTION:

        -g, --group group_name 更改为指定组 (只有root)

Actions:

-a, --add username      指定用户加入组

-d, --delete username   从组中删除用户

-p, --purge             从组中清除所有成员

-l, --list              显示组成员列表

groups [OPTION]… [USERNAME]... 查看用户所属组列表

    eg1:查看组成员

            

    eg2：向组里添加用户

            

    eg3：删除组里的用户

            

    eg4：删除组里所有用户

            

                      

二十四、chown命令

    chown：修改文件的属主和属组

格式：chown [OPTION]…[OWNER] [: [GROUP]] FILE…

用法：

OWNER

OWNER: GROUP

: GROUP

命令中的冒号可用.替换；

-R: 递归

chown [OPTION]... --reference=RFILE FILE...  

二十五、chgrp命令

chgrp：修改文件的属组

格式：chgrp [OPTION]... GROUP FILE...

chgrp [OPTION]... --reference=RFILE FILE...

-R 递归

    注：chown只有root才能执行；chgrp命令只有root、文件所有者执行，文件所有者可将之改为文件所有者所属的组；

二十六、文件权限

    文件的权限主要针对三类对象进行定义：

owner: 属主,u

group: 属组,g

other: 其他,o

每个文件针对每类访问者都定义了三种权限：

r: Readable

w: Writable

x: executable

    文件和目录各个权限含义

        文件：

    r: 可使用文件查看类工具获取其内容

    w: 可修改其内容

    x: 可以把此文件提请内核启动为一个进程 

    目录：

    r: 可以使用ls查看此目录中文件列表

    w: 可在此目录中创建文件，也可删除此目录中的文件，修改目录中的文件

    x: 可以使用ls -l查看此目录中文件列表，可以cd进入此目录并且读目录内文件内容

    X:只给目录x权限，不给文件x权限；前提是文件本身无x权限，有的话会加；                

二十七、chmod命令

    chmod:修改文件权限

chmod [OPTION]... OCTAL-MODE FILE...

    OPTIOM:

-R: 递归修改权限 

chmod [OPTION]... MODE [, MODE] ... FILE...

MODE：

修改一类用户的所有权限： u= g= o= up= a= u=, g=    

修改一类用户某位或某些位权限 u+  u- g+ g- o+ o- a+ a-

chmod [OPTION]... --reference=RFILE FILE...

参考RFILE文件的权限，将FILE的修改为同RFILE；

    权限设置示例：

       chgrp sales test file 

chown rotations test file 

chmod u+wx, g-r, o=ax file 

chmod -R g+rwX /testier 

chmod 600 files 

chown mage testifies

二十八、新建文件和目录的默认权限

    unmask值可以用来保留在创建文件权限

    新建文件默认权限：666-umask；

        发现结果有奇数权限+1，偶数权限不变；

    新建目录默认权限：777-umask；

    非特权用户的unmask是002；

    Root的unmask是022；

    unmask –S 模式方式显示 ；

    unmask –p 输出可被调用 ；

全局设置： /etc./basher 用户设置：~/. basher；

二十九、Linux文件系统上的特殊文件

    SUID（4）, SGID（2）, Sticky（1）  

三种常用权限：r, w, x；user group,other

前提：进程有属主和属组；文件有属主和属组

(1) 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限

(2) 启动为进程之后，其进程的属主为发起者；进程的属组为发起者所属的组

(3) 进程访问文件时的权限，取决于进程的发起者

(a) 进程的发起者，同文件的属主：则应用文件属主权限

(b) 进程的发起者，属于文件属组；则应用文件属组权限

(c) 应用文件“其它”权限

    1.可执行文件上的SUID权限

       1.1 任何一个可执行程序文件能不能启动为进程：取决发起者对 程序文件是否拥有执行权限；

       1.2 启动为进程之后，其进程的属主为原程序文件的属主；

       1.3 SUID只对二进制可执行程序有效；

       1.4 SUID设置在目录上无意义 ；

       1.5 权限设定： chmod u+s FILE... chmod u-s FILE...

   2.可执行文件上的SGID权限

        2.1 任何一个可执行程序文件能不能启动为进程：取决发起者对 程序文件是否拥有执行权限；

        2.2 启动为进程之后，其进程的属主为原程序文件的属主；

        2.3 作用在二进制程序上：用户运行改程序时，自动继承该程序所属组的权限；

        2.4 权限设定： chmod g+s FILE... chmod g-s FILE...

    eg:

        chmod g+s /bin/cat

        su - wuzhongcheng

        cat /etc/shadow

        ll /bin/cat

        ll /etc/shadow

                

    3.目录上的SGID权限

       3.1 默认情况下，用户创建文件时，其属组为此用户所属的主组；

       3.2 一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组；

       3.3 通常用于创建一个协作目录；

       3.4 权限设定： chmod g+s DIR... chmod g-s DIR...

                

                

    4.Sticky（粘滞）位

4.1 具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权；

4.2 在目录设置Sticky 位，只有文件的所有者或root可以删除该文件；

4.3 sticky 设置在文件上无意义；

4.4 权限设定：chmod o+t DIR... chmod o-t DIR...

      例如：ls -ld /tmp

        drwxrwxrwt 12 root root4096 Nov 2 15:44 /tmp

        

三十、设定文件特定属性

    chattr +i：不能删除，改名，更改；

                

    chattr +a:只能增加；

                

    lsattr：显示特定属性；

三十一、访问控制列表

    1. ACL：AccessControlList，实现灵活的权限管理；

    2. 除了文件的所有者，所属组和其它人，可以对更多的用户设 置权限；

    3. CentOS7.0默认创建的xfs和ext4文件系统有ACL功能；

    4. CentOS7.X之前版本，默认手工创建的ext4文件系统无ACL 功能；

        4.1 需手动增加:

             tune2fs –o acl/dev/sdb1

             mount –o acl/dev/sdb1  /mnt

    5. ACL生效顺序：所有者，自定义用户，自定义组，其他人；

    

   6. 为多用户或者组的文件和目录赋予访问权限rwx

            mount -o acl /directory

            getfacl file |directory 

            setfacl -m u:wang:rwx file|directory

            setfacl -Rm g:sales:rwX directory

            setfacl -M file.acl file|directory

            setfacl -m g:salesgroup:rw file|directory

            setfacl -m d:u:wang:rx  directory

            setfacl -x u:wang  file |directory

            setfacl -X file.acl  directory

        eg1:设定特定的用户不能对文件进行访问

                

        eg2:设定特定用户能对文件进行读和修改

                

        eg3:查看文件设置的acl权限

                

        eg3:删除用户acl权限

                

        eg4：清空文件上所有acl权限

                

        eg5：调用已写好的acl权限文件给指定文件使用（vim acl.txt）

                

                

        eg6:设置默认acl权限

            对文件：

                

            对目录：

                

        eg7：删除已写好文件的acl权限（vim acl.txt）

                

                

              

    7. ACL文件上的group权限是mask 值（自定义用户，自定义组 ，拥有组的最大权限）,而非传统的组权限； 

    8. getfacl 可看到特殊权限：flags；

    9. 默认ACL权限给了x，文件也不会继承x权限；

    10. base ACL 不能删除 ；

    11. setfacl -k dir 删除默认ACL权限；

    12. setfacl -b file1清除所有ACL权限 ；

    13. getfacl file1 | setfacl--set-file=-file2  复制file1 的acl权限给file2；

    14. mask只影响除所有者和other的之外的人和组的最大权限 Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective  Permission)

    15. 用户或组的设置必须存在于mask权限设定范围内才会生效。

        setfacl -m mask::rx file 

        示例：（与mask权限为准，只能小于或等于mask权限）

        

            

                    

   

    

        

        

本文出自 “亚成-另一个LINUXER” 博客，请务必保留此出处http://yacheng0316.blog.51cto.com/11878883/1953985