用户与组

Posted 2020-09-06

用户和组的管理：用户账户、组账户、权限的分配

Cisco开发的AAA认证体系：

Authentication 认证，核实身份是否正确

Authorization 授权，对已经核实身份的用户进行资源分配

Accounting 审计，监管资源被使用的情况

多任务、多用户的系统

    能够实现资源使用和完成任务的主体是：应用程序和进程

    安全上下文：secure context体系里面包含的所有内容

进程是以其发起者的身份来运行的，进程的发起者就是其所有者，在进程上会将发起者的信息标记在进程上；当进程试图去访问资源的时候，安全上下文会比对进程的所有者和资源的所有者的关系

    首先查看进程的所有者是不是资源的所有者，如果是，就按照属主的权限使用资源；如果不是，则判断进程的所有者是否属于资源属组，如果是，按照属组的权限使用资源。如果不是，则直接使用资源的其他人使用权限来使用资源

 

用户账户：就是计算机操作者在操作系统中的身份映射；在满足了认证条件后的身份映射

   1、用户分类：

    超级用户（管理员）：root

    普通用户：   

        系统用户：为了保证安全，必须让那些运行在后台的进程或者服务进程以非管理员的身份运行；这类用户一般不能或不需要登录到系统（不是root）

        登录用户：能够正常使用整个系统资源的用户

 用户的标识：

        用户的登录名称：为操作者准备的简单易记的字符串标识

        用户的ID：为计算机系统（设备）准备的数字标识

                  超级用户：0

                           Centos5、6：1~499

                           Centos7:1~999

                  登录用户：

                           Centos5、6：500~60000（六万）

                           Centos7：1000~60000

                  60000+的标识符为用户自定义标识

   2、名称解析：名字<------->UID

           解析库：/etc/passwd （还可以存储为关系型数据库）

             系统利用解析库完成认证机制，严重登录用户是否是你声称的那个人

           认证库：/etc/shadow 用户的认证信息库

                   /etc/group 组的认证信息库

           采用密码认证的机制：

                设置密码的一般性策略：

                      1）、尽量使用随机字串作为密码

                      2）、密码的长度一般不要少于8个字

                      3）、密码中尽量包括大写字母、小写字母、数字和标点符号四类字符中的三类以上

                      4）、不定期更换，每隔一段时间就换一个密码

 

     在Linux中，密码是用加密的方式来保存的，保存到认证库中的密码是经过加密保存的（加密算法）。

     hash单向加密算法（只能加密，不能解密）：抽取原始数据的特征信息，组成数据指纹。

     单向加密算法的特征：

           1）、主要数据相同，其加密结果就必然相同

           2）、主要数据足够大，9其加密结果定长输出

           3）、雪崩效应（如改一个二进制改全部）

           4）、不可逆

     单向加密常用算法：

        1、md5：message digest，消息摘要，128bit定长输出

        2、sha1：secure hash algorithm，安全的哈希算法，160bit定长输出（更安全）

        3、sha224

        4、sha256

        5、sha384

        6、sha512

    salt（盐）：随机数（random）

   /dev/random ：仅仅只是从熵池（存放随机数）中返回的随机数，如果熵池随机数耗尽，则进程被阻塞

   /dev/urandom ：先试图从熵池中返回随机数，如果熵池耗尽，则利用伪随机数生成器生产伪随机数

  最终验证字符串：算法+sal+密码

  在认证库中存放的信息，例如：$6$salt$crytped_password

 

3、用户组：

 可以将具有相同或相似属性的用户联系在一起，以便集中授权的容器（只是一种逻辑联系）

        组类别：

              管理员组：

              普通用户组：

                    系统组

                    登录组

        组的标识方法：

             组名：方便操作者使用

             组的ID（GID）：为系统提供组标识

                  管理员组：0

                           Centos5、6：1~499

                           Centos7:1~999

 

                  登录组：Centos5、6 ：500~6000

                          Centos7：1000~60000

        组的解析库：/etc/group

 

组也需要认证，组也有认证库：/etc/gpasswd

   组也需要密码保护：如果组没有设置密码保护的话，则不能随时加入

以用户为核心来对组进行分类。

   用户的主要组（基本组）：primary group 对于这样的组来讲，必须要有，而且只有一个

   用户的附加组（附属组，额外组）：addition group 这样的组对于用户来说，可以没有，也可以有多个

根据组所容纳的用户来说：

    私有组：组名与用户登录名相同，并且组中只有此用户

    共有组：组中可以包含其他多个不同用户

 注意：默认情况下，用户的主要组都是其私有组

 

  4、用户和组的管理：主要使用命令来完成

组管理相关的命令：

   1、groupadd

   2、groupdel

   3、groupmod（修改）

用户管理相关的命令：

   1、useradd

   2、userdel

   3、usermod

认证管理相关的命令：

  1、passwd

  2、gpasswd

  3、chage

其他相关管理命令：chsh、finger、su、id

 

（1）、/etc/passwd：

       例如：name:password:UID:GID:GECOS:directory:shell

                 name: 登录名

                 password：密码字段，现做在使用了shadow机制的系统中，通常使用“x”作为占位符；

                 UID：用户的ID

                 GID：此用户主要组的ID

                 GECOS：comment，注释类的信息，现在一般都会用来存放用户的说明信息或全名；（只有注释字段可以留空）

                 directory: 用户家目录的绝对路径

                 shell：用户的默认登录shell的绝对路径

（2）、/etc/group：

     例如：group_name:password:GID:user_list

           password：组密码占位名，默认为空

           GID: 组的ID

           user_list: 以该组为附加组的用户的列表

（3）、/etc/shadow：

     例如：Login name:entrypted passsword:data of last password change:minimum password age:maximum password age:password warning period:password inactivity period:account expiration date:reserve filed

     login name：用户的登录名

     entrypted passsword：加密的密码

     格式：$算法$salt$真正意义的加密密码

     如果该位置为！，则表明用户密码被禁用

     如果该位置为*，则表明该用户为系统用户，不能登录

     如果该字段为空，则表明该用户可以无需输入密码即可登录系统，不推荐使用

     data of last password change:相对时间概念，相对于1970年1月1日到最后一次修改密码那天的天数

     minimum password age: 在多长时间内无法修改密码，默认值为0，意即：随时可以修改密码，如果是非0的其他数字，意思是在这么长的时间里不能改密码

     maximum password age：在多长时间之后密码过期，默认为99999，意思是永久有效

     password warning period：密码过期之前的友善提醒天数，默认为7天

     password inactivity period：密码过期之后的宽限期，默认为-1，意思是永久宽限期

     account expiration date: 一个用户账户密码过期的日期，这是一个绝对的过期期限，例如：设置方式为xxxx/xx/xx

     reserved filed：保留字段，以备以后使用

 

（4）、/etc/gpasswd:  

  例如：group name:encrypted password:administrators:members

 

组管理命令：

   groupadd：新建组账户，添加组

  groupadd [-g gid [-o]] [-r] [-f] groupname

       -g gid：在创建组账户的时候，指定组账户的GID；如果不使用该选项指定，系统会选择在组解析文件中出现在的不大于60000的最大GID加1创建新组

       -r：创建系统组；意思就是创建一个GID在1~999（1~499）之间的组

  groupmod：修改组的相关属性信息

     group [选项] GROUPNAME

       -g gid: 修改组账户的ID

       -n NEW_GROUPNAME: 修改组名

  groupdel：删除账户

       groupdel [选项] GROUPNAME

    注意：如果某个组是某个用户的主要组或私有组，则该组无法删除

 

5、用户管理的命令：

 （1）、useradd: 添加用户账户（注意同时添加了组）

       useradd [选项] 登录名

     /etc/default/useradd

     /etc/login.defs

     /etc/skel

以上三个文件和目录能够关注管理员在未指定任何选项时，也能创建用户，并为用户赋予默认的属性

选项：

-c, --comment ‘COMMENT’：在创建用户时，为用户添加注释信息，一般为全名

    -d, --home /PATH/TO/HOME_DIR: 在创建用户的时候为用户指定家目录的绝对路径，被指定的命令应该是事先不存在的目录

-g, --gid GROUPNAME: 在创建用户时，为用户指定主组

-G，--groups GROUP1[,GROUP2],GROUP3...[GROUP]]]；在创建用户时，为用户添加附加组

-m：--create-home：在创建用户时，强制性为用户创建家目录

-M：在创建用户时，不会创建用户的家目录，即使在/etc/login.defs中CREATE_HOME的值为yes也不创建

-r，--system：创建系统用户

-u，--uid UID：在创建用户的时候，为用户指定UID，这个UID可以超过6000的限制

-s，--shell /PATH/TO/SHELL：在创建用户时，为用户指定默认shell，使用绝对路径

-D，--defaults：显示或修改用户的默认属性值

-s，--shell /PATH/TO/SHELL：修改/etc/default/useradd文件中SHELL的默认值

 

 （2）、usermod：修改用户账户信息

       usermod [选项] 登录名

  选项：

     -c：--comment ‘COMMENT’：修改用户的注释信息

 -g, --gid GROUPNAME: 修改用户的主要组

     -G，--groups GROUP1[,GROUP2],GROUP3...[GROUP]]]；修改用户的附加组为列表中的组

         -a，---append：与-G选项同时使用，给用户添加新的附加组

     -d，---home /PATH/TO/HOME_DIR：修改用的家目录

         -m，--move-home：与-d选项同时使用，将旧的家目录中的数据移动至新家之中

     -l，--login NEW_LOGIN：更改用户账户的登录名

     -s，--shell /PATH/TO/SHELL：修改用户账户的登录shell

     -u，--uid UID：修改用户的UID

     -L，--lock：锁定用户密码

     -U，--unlock: 解锁用户密码

 （3）、userdel: 删除用户账户

       userdel [选项] 登录名

    选项：

      -r：删除用户的同时，清除用户的家目录

 

 

6、跟用户认证相关命令：

 （1）、passwd: 设置和查看用户的密码信息：

    例如：passswd  [-k] [-l] [-u[-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [-s] [--stdin] [username]

       1、如果省略用户名，意味着更改当前登录用户的密码

       2、如果注定用户名，更改注定用户的密码，只能root使用

 选项：

-l，--lock：锁定用户密码

-u，--unlock：解锁用户密码

   相比较使用usermod -L|-U而言，其优先级更高

   如果使用usermod -L锁定用户密码，，可以使用passwd -u解锁；

   而使用passwd -l锁定的用户密码，无法使用usermod -U解锁

-d，--delete：删除用户密码，将/etc/shadow文件中第二个字段清空

-s，--status: 查看用户的密码状态

    --stdin：借助于管道将输入数据流当做标准输入信息送给passwd指令

      例如：echo “PASSWORD” | passwd --stdin USERNAME

 

 7、组认证相关命令：gpasswd

gpasswd  [选项] groupname

   选项： -a，adduser  向名为group的组中添加用户user

          -d，deleteuser  从名为group的组中移除用户user

 

 

 8、其他命令：

 su：switch user，切换用户身份

     su USERNAME：部分切换，半切换，不会重新读取目录用户的配置文件，因此，用户并没有登录行为，所以，工作环境不初始化

     su - USERNAME：登录式切换，完全切换，在切换用户的时候，重新读取目标用户的配置文件并且初始化工作环境，相当于su -l USERNAME

     -c COMMAND：并不会切换用户身份，而是以目标用户的身份执行某命令

 使用su命令的时候，从root切换到其他的普通用户，无需密码，但普通用户进行切换时，必须给出目标用户的密码

进行用户切换之后，不需要连续切换，而是用exit命令返回之前的用户

 newgroup GROUPNAME：临时更改当前用户的主要组，使用exit返回之前的状态

 

9、id：显示真实和有效的用户和组的ID

   真实的ID：在/etc/passwd定义的用户的UID和GID

   有效的ID：当前生效的用户的UID和GID

  id [OPTION]...[USER]

-g：只显示用户的有效GID

-u：只显示用户的有效UID

-G：显示用户所有组的ID

-n：以名称来代替ID进行显示

 

Cash: 修改用户的默认shell，相对于usermod -s

    例如： -s SHELL

了解：

Finger

Chfn

Pwck

grpck