Linux中对权限的管理

一、用户与组

1、用户账号

• 超级用户：root用户是Linux系统中默认的超级用户账号，对本级拥有最高的权限，类似于Windows系统中的administrator用户
• 普通用户：普通用户账号需要有root用户或其他管理员用户创建，拥有的权限受到一定限制，一般只在用户自己的宿主目录中拥有完整权限
• 程序用户：在安装Linux系统及部分应用程序时，会添加一些特定的低权限用户账号，这些用户一般不允许登录到系统，而仅用于维持系统或某个程序的正常运行。例如：bin，daemon，ftp，mail等

2、组账号

linux通过将具有相同特性的用户划归为一个组,可以大大简化用户的管理,方便用户之间文件的共享。任何一个用户都至少属于一个组,这个组称为初始组,可以同时属于多个附加组。用户不仅拥有初始组的权限,还拥有附加组的权限。

• 基本组（私有组）：基于某种特定联系 (如都要访问ftp服务）将多个用户集合在一起，即构成一个用户组表示该组内所有的账号称为账号组 每个账号至少属于一个组，这个组称为该用户的基本组（或者私有组）
• 附加组： 若该用户还包含在其他组中，则这些组称为该用户的附加组（或公共组）

3、UID与GID

Linux系统中的每一个用户账号和组账号都有一个数字形式的身份标记，称为UID（User IDentity，用户标识号）和GID（Group IDentify，组标识号）。对于系统核心来说，UID是作为区分用户的基本依据，原则上每个用户的UID号应该是唯一的

• root用户：固定值UID=0
• 程序用户：UID 1—999
• 普通用户：UID 1000–6万

4、用户账号文件 /etc/passwd/

1.保存用户名称、宿主目录、登录shell等基本信息

• 文件位置：/etc/passwd

• 每一行对应一个用户的账号记录

  例如：查看passwd文件头两行内容（每一行对应一个用户的账号记录）
  [root@localhost ~]# head -2 /etc/passwd
  root:x:0:0:root:/root:/bin/bash
  bin:x:1:1:bin:/bin:/sbin/nologin
  

passwd文件的每一行内容中，包含了七个用冒号“：”分隔的配置字段，我们需要了解其含义

• 用户账号：用户账号的名称，也是登录系统时使用的识别名称
• 密码占位符：表示自己有密码
• 用户账号ID（UID）：用户账号的UID号
• 组账号ID（GID）：所属基本组账号的GID号
• 用户说明：用户全名，可以填写与用户相关的说明信息
• 宿主目录（家目录）：该用户登录后所在的默认工作目录
• 登录Shell：登录shell等信息，用户完成登录后使用的shell

5、用户账号文件/etc/shadow

shadow文件又被称为“影子文件”，其中保存有各种用户账号的密码信息，因此默认只有root用户能够读取文件中的内容，而不允许直接编辑改文件中的内容

查看头两行shadow文件内容
[root@localhost ~]# head -2 /etc/shadow
root:$6$jncqwtzMq8glv.ml$pnF.JmmcJZ/erXJeU9fSiL1.VAX6IWZULwLRa67hxfdwdL3OOLyCINPHB1INx5thxfL7D1NG.WWnpRysivFuc1::0:99999:7:::
bin:*:17632:0:99999:7:::

shadow文件的每一行内容中，包含了九个用冒号“：”分隔的配置字段，我们需要了解其含义

字段	解释
第一字段	用户账号名称
第二字段（英语字符串）	使用MD5加密的密码字串信息，当为“*”或者“！！”时表示此用户不能登录到信息，若该字段内容为空，则该用户无需密码即可正常登陆系统
第三字段	上次修改密码的时间，表示从1970年1月1日起到最近一次修改密码时间隔的天数
第四字段	密码的最短有效天数。自本次修改密码后，必须至少经过该天数才能再次修改密码，默认值为0，表示不进行限制
第五字段	密码的最长有效天数，自本次修改后，经过该天数以后必须再次修改密码。默认值为99999，表示不进行限制
第六字段	提前多少天警告用户口令将过期，默认值为7
第七字段	在密码过期后多少天内禁用此用户
第八字段	账号失效时间，此字段制定了用户作废的天数（从1970年1月1日算起），默认值为空，表示账号永久可用

6、修改账户和密码的有效期 chage

• chage命令针对目前系统已存在的用户

  chage [选项]  用户名
  

选项	作用
-m	密码可更改的最小天数。为零时代表任何时候都可以更改密码。
-M	密码保持有效的最大天数。chage-M60root
-w	用户密码到期前，提前收到警告信息的天数。
-E	帐号到期的日期。过了这天，此帐号将不可用。
-d	上一次更改的日期
-i	停滞时期。如果一个密码已过期这些天，那么此帐号将不可用。
-l	例出当前的设置。由非特权用户来确定他们的密码或帐号何时过期。

#示例
chage -E 2022-3-4 test   ###test用户将在2022年3月4日失效
chage -d 2033-4-2        ###设置test用户最后一次修改密码的日期为2033年4月2日

二、用户账号

• 切换用户：su 用户，保持路径不变
  su - 用户，切换到当前用户的家目录
  grep “bash$” /etc/passwd 查看当前可用用户
  用户被锁定后，可以从高权限用户切换到普通用户，但是不可以用普通用户登录

1、添加用户账号 useradd

• -u ： 指定用户的UID号，要求该UID号码未被其他用户使用

• -d ： 指定用户的宿主目录位置（当与-M一起使用时，不生效）

• -e ：指定用户的账户失效时间，可使用YYYY-MM-DD的日期格式

• -g ： 指定用户的基本组名

• -G ：指定用户的附加组名

• -M ： 不建立宿主目录，即使/etc/login.defs系统配置中已设定要建立宿主目录

• -s ： 指定用户的登录shell环境

useradd 用户名          ###创建用户名
id  用户名              ###显示用户的uid，基本组，附加组
tail -1 /etc/passwd    ###查看在账号属性的最后一行
ls /home               ###未指定目录，默认放在/home中

#可以指定创建用户账号
示例
#创建一个辅助管理员账号admin，将其基本组指定为 wheel ，附加组指定为：root，宿主目录指定为：/admin
useradd -d /admin -g wheel -G root admin
id admin  

#指定新建账号的有效期限或不能登录系统

useradd -e +时间 -s /sbin/nologin 用户名
useradd -M 用户名
#修改用户UID 为666
useradd -u 666 用户名

2、更改用户口令 passwd

• 通过useradd创建一个账户后还需要设置密码才能够正常使用，使用passwd命令可以设置或修改密码

• passwd命令除了可以修改账号的密码外，还能对用户账号进行锁定，解锁，也可以将用户的密码设置为空（无需密码即可登录）

#用管道符：| ，给用户设置密码
echo "123" | passwd --stdin 指定用户
passwd [选项]  用户名

• -d： 清空指定用户的密码

• -l： 锁定用户账号

• -S ： 查看用户账户的状态

• -u ： 解锁用户账户

3、usermod 命令

usermod [选项] 用户名
常用选项
-l		更改用户账号的登录名称（Login Name）
-L		锁定用户账户	
-U		解锁用户账户

-u		修改用户的UID号
-d		修改用户的宿主目录位置
-e		修改用户的账户失效时间，可以使用YYYY-MM-DD的日期格式
-s		指定用户的登录shell	
-G      修改用户的附加组名(或使用GID号)

4、userdel 命令

userdel [-r] 用户名
添加-r选项时，表示连用户的宿主目录删除	
userdel -r zhangsan    ###删除账号
ls-ld/home/zhanqsan    ###查看账号信息

三、组账号管理

1、groupadd命令 --添加组账号

• groupadd命令 --添加组账号

  groupadd [-g GID] 组账号名
  [root@33 ~]# groupadd -g 1000 market
  

2、gpasswd命令–添加删除组成员

gpasswd [选项] 组账号名

常用选项
-a		向组内添加一个用户
-d		从组中删除一个用户成员
-M		定义组成员列表，以逗号分隔
#示例：向组内添加一个用户
[root@33 ~]# gpasswd -a 12
例如：从组内删除一个用户
[root@33 ~]# gpasswd -d 12
例如：添加多个用户
[root@33 ~]# gpasswd -M a，b，c，d

3、groupdel命令–删除组账号

groupdel 组账号名
例如
[root@33 ~]# groupdel  market

4、查询账号信息

id命令基本格式
id [用户名]      查询用户身份标识

• groups命令：查询用户账号所属的组

• groups命令可以查看指定的用户账号属于哪些组

groups命令使用格式
groups [用户名] 		查询用户所属的组

四、文件和目录的权限和归属

1、访问权限

类型	解释
读取r	允许查看文件内容，显示目录列表
写入w	允许修改文件内容，允许在目录中新建，移动，删除文件或子目录
可执行x	允许运行程序，切换目录

2、归属

类型	解释
属主	拥有该文件或目录的用户账号
属组	拥有该文件或目录的组账号

3、查看文件/目录的权限和归属

如“-rw-r–r–“。

1.权限字段由四部分组成，各自的含义如下所述。

• 第1个字符（-）:表示该文件的类型，可以是d(目录)、b(块设备文件)、c(字符设备文件)、”-”(普通文件)、字母"1"(链接文件)等。
• 第 2~4 个字符（rw-）:表示该文件的属主用户(User)对该文件的访问权限。
• 第5-7个字符（r-）:表示该文件的属组内各成员用户(Group)对该文件的访问权限。
• 第8-10个字符（r-）:表示其他任何用户(other)对该文件的访问权限。

• 我们可以使用-rwxrwxrwx来表示权限也可以用777来表示权限。
• rwx采用累加数字形式表示成 7 ， r-x 表示成 5 ， rwxr-xr-x 表示成755，rw-r–r–表示成644
• 数字固定不会变，一个普通的数据文件没有执行权限

五、设置文件或目录的权限和归属

1、设置文件和目录权限 chmod

chmod [ugoa] [+-=] [rwx] 文件或目录	  （不常用）	（u，g，o，a分别表示属主，属组，其他用户，所有用户）（+-=分别表示增加，去除，设置权限）
或
chmod nnn 文件或目录	  （最常用）	（nnn表示三位八进制数字，如刚刚提到的 777,755,644等）

常用选项
-R		递归修改指定目录下所有子项的权限

2、设置文件和目录的归属 chown

chown命令使用基本格式
chown 属主 文件或目录
chown：属组 文件或目录
chown 属主：属组 文件或目录

常用选项
-R		递归修改指定目录下所有文件，子目录的归属

3、权限掩码 umask

• 默认文件权限根据umask值设置（默认为0022）
  新文件权限为rw-r-r（644）
  666 – 022 = rw-r-r
  如何修改Umask值呢？
• 临时修改 umask 066 (这个066根据需求定，可以理解成反子网掩码，这个是临时的)
• vi /etc/bashrc 最后一样插入umask 066 (这个是永久生效的)

umask设置命令格式
umask 000（000指数字）

umask查看
umask

• umask的分数指的是“该默认值需要减掉的权限，”因此，如果执行“umask 022”，代表group和other被拿掉了权限“2”，也就是被拿掉了写的权限

• 如果执行命令“umask 000”，代表文件的默认权限是“777”