第五天用户组和权限管理

Posted 2021-01-29

我把文件管理在总结一下：
组group
用户管理命令
useradd
useradd [options] LOGIN
-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID 指明用户所属基本组，可为组名，也可以GID
-c "COMMENT“ 用户的注释信息
-d HOME_DIR 以指定的路径(不存在)为家目录
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000
-m 创建家目录，用于系统用户
-M 不创建家目录，用于非系统用户
创建用户： useradd
默认值设定：/etc/default/useradd
显示或更改默认设置
useradd -D
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g GROUP
usermod
usermod [OPTION] login
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL
-c ‘COMMENT‘：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项
-l login_name: 新的名字
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限
userdel
userdel [OPTION]... login
-r: 删除用户家目录
组帐号维护命令
groupadd
groupmod
groupdel

查看用户相关的ID信息
id [OPTION]... [USER]
-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称，需配合ugG使用

切换用户或以其他用户身份执行命令
su [options...] [-] [user [args...]]
切换用户的方式：
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录
su - UserName：登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换
root su至其他用户无须密码；非root用户切换时需要密码
换个身份执行命令：
su [-] UserName -c ‘COMMAND‘
选项：-l --login
su -l UserName 相当于 su - UserName

设置密码
passwd [OPTIONS] UserName: 修改指定用户的密码
常用选项：
-d：删除指定用户密码
-l：锁定指定用户
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
--stdin：从标准输入接收用户密码
示例：echo "PASSWORD" | passwd --stdin USERNAME

修改用户密码策略
chage [OPTION]... LOGIN
-d LAST_DAY
-E --expiredate EXPIRE_DATE
-I --inactive INACTIVE
-m --mindays MIN_DAYS
-M --maxdays MAX_DAYS
-W --warndays WARN_DAYS
-l 显示密码策略
示例：
chage -d 0 tom 下一次登录强制重设密码
chage -m 0 –M 42 –W 14 –I 7 tom
chage -E 2016-09-10 tom

创建组
groupadd [OPTION]... group_name
-g GID 指明GID号；[GID_MIN, GID_MAX]
-r 创建系统组
CentOS 6: ID<500
CentOS 7: ID<1000

修改和删除组
组属性修改：groupmod
groupmod [OPTION]... group
-n group_name: 新名字
-g GID: 新的GID
组删除：groupdel
groupdel GROUP

更改组密码
组密码：gpasswd
gpasswd [OPTION] GROUP
-a user 将user添加至指定组中
-d user 从指定组中移除用户user
-A user1,user2,... 设置有管理权限的用户列表
newgrp命令：临时切换主组
如果用户本不属于此组，则需要组密码

更改和查看组成员
groupmems [options] [action]
options：
-g, --group groupname 更改为指定组 (只有root)
Actions:
-a, --add username 指定用户加入组
-d, --delete username 从组中删除用户
-p, --purge 从组中清除所有成员
-l, --list 显示组成员列表
groups [OPTION].[USERNAME]... 查看用户所属组列表

修改文件的属主和属组
修改文件的属主：chown
chown [OPTION]... [OWNER][:[GROUP]] FILE...
用法说明：
OWNER
OWNER:GROUP
:GROUP，冒号也可用 . 替换
-R: 递归
chown [OPTION]... --reference=RFILE FILE...

修改文件的属组：chgrp
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...
-R 递归

文件权限
文件的权限主要针对三类对象进行定义
owner 属主, u
group 属组, g
other 其他, o
每个文件针对每类访问者都定义了三种权限
r Readable
w Writable
x eXcutable

文件权限
文件：
r 可使用文件查看类工具获取其内容
w 可修改其内容
x 可以把此文件提请内核启动为一个进程
目录：
r 可以使用ls查看此目录中文件列表
w 可在此目录中创建文件，也可删除此目录中的文件
x 可以使用ls -l查看此目录中文件元数据（须配合r），可以cd进入此目录
X 只给目录x权限，不给文件x权限

修改文件权限
chmod [OPTION]... OCTAL-MODE FILE...
-R: 递归修改权限
chmod [OPTION]... MODE[,MODE]... FILE...
MODE：
修改一类用户的所有权限
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u- g+ g- o+ o- a+ a- + -
chmod [OPTION]... --reference=RFILE FILE...
参考RFILE文件的权限，将FILE的修改为同RFILE

新建文件和目录的默认权限
umask值 可以用来保留在创建文件权限
新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1
新建目录的默认权限: 777-umask
非特权用户umask是 002
root的umask 是 022
umask: 查看
umask # 设定
示例：umask 002
umask u=rw,g=r,o=
umask –S 模式方式显示
umask –p 输出可被调用
全局设置： /etc/bashrc 用户设置：~/.bashrc

Linux文件系统上的特殊权限
?SUID, SGID, Sticky
?三种常用权限：r, w, x user, group, other
?安全上下文
?前提：进程有属主和属组；文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
(2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
(3) 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限

设定文件特定属性
chattr +i 不能删除，改名，更改
chattr +a 只能追加内容
lsattr 显示特定属性

访问控制列表
ACL：Access Control List，实现灵活的权限管理
除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
ACL生效顺序：所有者，自定义用户，自定义组，其他人

练习没有执行权限，只能看到文件，不能看

vfat格式的系统也就是FAT32不支持读写，就是文件系统不支持读写权限
chmod --reference=f1 f2 f3(将f2与f3的权限跟f1一样)

数字法：
u g o
rwx rw- r--
111 110 100

421 最大是7
r4
w2
x1

比如：chmod 764 file

file（文件）：6（rw），4（r），0（啥都没有），
如果有基数说明一定有X
dir（文件夹）：7（rwx），5（r-x），0

chmod -R a+x dir1（文件夹）(这个命令就是，-R就是递归的意思，就是dir所有目录与文件的三个权限类型都加执行权限)

chmod -R -x dir2(把dir2目录下的文件与目录都去掉执行权限)

chmod -R -X dir2(把dir2目录下的目录都去掉执行权限，这个只针对目录不针对文件，但是如果本身dir2下的文件有一个是带x权限的，那么三个类型的执行权限都会加上)

如果文件夹下有执行文件，那么这个文件夹一定要有执行权限

chmod -R 777 dir1（这种方法太不安全了，谁都能操控了）他的危险完全不下与rm -rf /,如果写成chmod -R 777 /你就完蛋了！chown -R guoguo /*(所有文件所有者都变成guoguo了)，带R都是很危险的！

chown wang.g1 dir1(就是把dir1文件的所有者改成wang，所有组改成g1组)

看当前umask，就是 umask回车，以后改配置可以使用 umask -p >> .bashrc
[[email protected] data]#umask -S(直接看默认)
u=rwx,g=rx,o=rx
[[email protected] data]#umask u=rwx,g=r,o=（或者直接给权限）

umask（022）+defaul（644）=file666/dir777 文件644 文件夹755

mask：掩码
usmask的功能：取消对应的权限

对于目录：umask+defaul=777

对于文件：666-umask：对结果进行观察
比如：
666
125

541（偶数不变，基数加一）
642

比如：我设定umask 251
文件夹权限就是：777-251=526
文件权限就是：666-251=415,426

写进文件里面比如，如下
cat .bashrc
umask 51

注意：
5、日常目录也是有执行权限，但是文件最好没有执行权限，因为病毒***用的就是文件的执行权限
练习题：
复制/etc/fstab文件到/var/tmp下，设置文件所有者为tomcat读写权限，所属组为apps组有读写权限，其他人无权限
[[email protected] tmp]#useradd tomcat（先建这个用户）
[[email protected] tmp]#groupadd apps（创建这个apps组）
[[email protected] tmp]#groupmems -a tomcat -g apps（把tomcat加入apps这个组）（题目没要求可以略过）
[[email protected] data]#cp /etc/fstab /var/tmp
[[email protected] data]#cd !$
cd /var/tmp
[[email protected] tmp]#ls
abrt
fstab
systemd-private-75d06b4c0df04766bda643d769625d5d-bolt.service-KlIgwn
systemd-private-75d06b4c0df04766bda643d769625d5d-colord.service-v7ECGt
systemd-private-75d06b4c0df04766bda643d769625d5d-cups.service-FGQRa4
systemd-private-75d06b4c0df04766bda643d769625d5d-fwupd.service-qCbq0e
systemd-private-75d06b4c0df04766bda643d769625d5d-rtkit-daemon.service-wdCuu4
[[email protected] tmp]#ll
total 4
drwxr-xr-x. 2 abrt abrt 6 Dec 12 11:39 abrt
-rw-r--r--. 1 root root 595 Dec 18 11:27 fstab
drwx------. 3 root root 17 Dec 18 08:41 systemd-private-75d06b4c0df04766bda643d769625d5d-bolt.service-KlIgwn
drwx------. 3 root root 17 Dec 18 08:41 systemd-private-75d06b4c0df04766bda643d769625d5d-colord.service-v7ECGt
drwx------. 3 root root 17 Dec 18 08:41 systemd-private-75d06b4c0df04766bda643d769625d5d-cups.service-FGQRa4
drwx------. 3 root root 17 Dec 18 08:41 systemd-private-75d06b4c0df04766bda643d769625d5d-fwupd.service-qCbq0e
drwx------. 3 root root 17 Dec 18 08:40 systemd-private-75d06b4c0df04766bda643d769625d5d-rtkit-daemon.service-wdCuu4
[[email protected] tmp]#chmod 660 fstab（改权限）
[[email protected] tmp]#chown tomcat:apps fstab（所有者，所有组也要改）

6、误删除了用户git的家目录，请重建并恢复该用户家目录及相应的权限属性
mkdir /home/git
cp -a /home/git /etc/skel/.[^.]* /home/git
chown -R git.git /home/git/
chmod 700 /home/git

SUID,SGID,Sticky
suid(集成所有者的权限，只适合2进制可执行的程序，继承2进制程序所有者的权限)
SGID（继承2进制程序所有组的权限）
(作用于目录，此目录新建的文件继承目录的所属组)
Sticky（粘滞位）（针对文件夹）root创建这个命令 chmod o+t dir1（创建这个命令后，就算dir1文件夹o有删除权限，那也只能删除自己的，不能删除他人的）
数字法 chmod 1777 /data/dir1

chattr (避免root账号删除)
chattr +i s(s就是文件)（给s这个文件加锁）
[[email protected] data]#lsattr s（查看这个文件的加锁状态）
----i----------- s
[[email protected] data]#chattr -i s （解锁）
[[email protected] data]#chattr +a s(追加是可以的)

ACL
[[email protected] data]#setfacl -m u:guoguo:0 f1（就不能让guoguo对这个文件进行访问）
[[email protected] data]#setfacl -m u:guoguo:rw f1（就不能让guoguo对这个文件进行能读能写）

[[email protected] data]#getfacl f1（查看ACL是特殊的mask不要当成正常的权限信息）

file: f1

owner: root

group: root

user::rw-
group::r--
other::r--

[[email protected] data]#setfacl -m g:g1:rw f1（这个g：就是组加g1这个组，给读写的权限，给f1）

setfacl -x g:g1 f2(删除)
setfacl -m mask::r f1(只要我这里设置了，其他的不管是谁比我高，都砍掉)
setfacl -b f1(清空acl的所有权限)
acl实施的顺序

下面这个方式是基数偶数最老的看法，可以略过
110110110
001010101

110100010（最终权限）

0取消
1不取消

文本处理工具
文件查看
cat（查看文本文件的）

cat -n a.txt(假如里面有很多空行)
cat -ns a.txt（上下空格会压缩成一个）
cat -A a.txt(以后写脚本用A可以看空格)

[[email protected] data]#echo {1..10}
1 2 3 4 5 6 7 8 9 10
[[email protected] data]#echo {1..10} > f2
[[email protected] data]#rev f2（一行反向显示）
01 9 8 7 6 5 4 3 2 1

more（对大文件进行分页显示）
用空格键往下翻
less（也是看文件）（man用的就是less）

head(显示文件的头，默认是前10行)
[[email protected] data]#head /etc/passwd（默认看10行）
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin

[[email protected] data]#head -n 3 /etc/passwd （看3行）
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin

[[email protected] data]#ifconfig | head -2
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.223.136 netmask 255.255.255.0 broadcast 192.168.223.255

[[email protected] data]#echo acbd | head -c3（取前三）
acb[[email protected] data]#

[[email protected] data]#openssl rand -base64 100 | tr -dc ‘[:alnum:]‘ | head -c 12（取前12个除了字母以外的字符）
il2soZbe0Utx[[email protected] data]#

[[email protected] data]#ifconfig | tail -n 3（取后三行）
TX packets 0 bytes 0 (0.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
tail命令一般日志文件用的多

[[email protected] data]#tail -f /data/f2.log（盯着这个日志文件的变化）

date -d ‘-1 day‘(显示昨天日期)

cut剪切
[[email protected] data]#cut -d: -f 1,3 /etc/passwd（剪切passwd前1与3列）

[[email protected] data]#cut -d: -f 5-7 /etc/passwd（这么写也可以）

df | tr -s " " |cut -d " " -f5 |tr -d "%"
Use
8
0
0
2
0
1
17
1
100

[[email protected] ~]#ifconfig eth0 | head -n2 | tail -n1 | tr -s " " : | cut -d: -f4 （centos6取ip地址）

[[email protected] data]#ifconfig ens33 | head -n2 | tail -n1 | tr -s " " | cut -d" " -f3
192.168.223.136（centos7取ip地址）

centos6
[[email protected] ~]#rpm -ivh /media/CentOS_6.10_Final/Packages/httpd-2.2.15-69.el6.centos.x86_64.rpm
warning: /media/CentOS_6.10_Final/Packages/httpd-2.2.15-69.el6.centos.x86_64.rpm: Header V3 RSA/SHA1 Signature, key ID c105b9de: NOKEY
Preparing... ########################################### [100%]
package httpd-2.2.15-69.el6.centos.x86_64 is already installed
启动服务service httpd start
[[email protected] ~]#iptables -F(禁用防火墙)
[[email protected] ~]#service iptables stop(马上关闭防火墙)
[[email protected] ~]#chkconfig iptables off（下次重启关闭防火墙）

centos7
[[email protected] data]#systemctl stop firewalld(马上关闭防火墙)
[[email protected] data]#systemctl disable firewalld（下次重启关闭防火墙）

[[email protected] ~]#tail -f /var/log/httpd/access_log

cut -d" " -f1 /var/log/httpd/access_log（这个是截取ip）

paste合并把两个列合在一起

paste f1 f2

1 10
2 11
3 12
cat f1 f2(这不就是纵向合并了一列了吗)

1
2
3
10
11
12
paste -s f1 f2
123
101112

paste -d ":" f1 f2
1:10
2:11
3:12

文本工具
wc（是输入，跟管道用的多）
wc f1
默认显示 几行 几个单词 几个字节（不严谨）
ls |wc

[[email protected] ~]#wc -l /etc/passwd(统计多少行，加l，比如这个就有35个用户)
35 /etc/passwd

-c统计字符
-m统计字符
-L统计（就是这个文件中最长的那个）
[[email protected] ~]#cat /var/log/httpd/access_log |wc -l（查询访问量）

sort -t:-k3 /etc/passwd（排序）(-t是选择的是：，-k3是第三列，默认是字母排序，加-n就是按照数字排序，在加-r就是倒序)

[[email protected] ~]#df | tr -s ‘ ‘ % |cut -d% -f5 |sort -nr |head -n1

[[email protected] ~]#netstat -nt （查询远程连接的数量）

[[email protected] data]#seq 102 |sort -R |head -n1

cut -d:f1,3 /etc/passwd |sort -t: -k2 -nr

uniq命令取唯一的，从输入中删除前后相接的重复行
比如
aa
aa
bb
cc
cc
使用uniq -c f1
就会变成
2 aa
1 bb
2 cc

统计一下访问次数最多的前10名

cat /var/log/httpd/access_log | cut -d" " -f1 | sort | uniq -c | sort -nr |head -n10

cut -d:f1,3 /etc/passwd |sort -t: -k2 -nr

[[email protected] ~]#df | tr -s ‘ ‘ % |cut -d% -f5 |sort -nr |head -n1

[[email protected] ~]#cat /var/log/httpd/access_log |wc -l（查询访问量）

sort -t:-k3 /etc/passwd

文件有读，文件夹有执行就能拷

suid4 sgid2 sticky1

[[email protected] ~]#cat ss.log | tr -s " "|cut -d: f6|sort|uniq-c|sort -nr|

sz（从linux传到windows）
rz（从windows传到本地）

[[email protected] data]#cat /etc/passwd | sort -rnt: -k3 | head -n1 （sort,rn不解释了，-t为啥加“：”，k3就是以：的第三列做排列，第三列正好是数字）
（head -n1就是只显示第一行）
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
mage:x:1001:1003::/home/mage:/bin/bash
guoguo:x:1000:1000:guoguo:/home/guoguo:/bin/bash