第5章 用户身份与文件权限

序言

Linux是一个多用户、多任务的操作系统，具有很好的稳定性与安全性，在幕后保障Linux系统 安全的则是一系列复杂的配置工作。

5.1 用户身份与能力

Linux系统的管理员之所以是root，并不是因为它的名字叫root，而是因为该用户的身份号码即UID（User IDentification）的数值为0。在Linux系统中，UID就相当于我们的身份证号码一样具有唯一性，因此可通过用户的UID值来判断用户身份。

用户身份：

• 管理员UID为0：系统的管理员用户。
• 系统用户UID为1～999：Linux系统为了避免因某个服务程序出现漏洞而被黑客提权至整台服务器，默认服务程序会有独立的系统用户负责运行，进而有效控制被破坏范围。
• 普通用户UID从1000开始：是由管理员创建的用于日常工作的用户。

概念：

• 用户组： 通过使用用户组号码（GID，Group IDentification），我们可以把多个用户加入到同一个组中，从而方便为组中的用户统一规划权限或指定任务。
• 基本用户组： 在Linux系统中创建每个用户时，将自动创建一个与其同名的基本用户组，而且这个基本用户组只有该用户一个人。
• 扩展用户组： 如果该用户以后被归纳入其他用户组，则这个其他用户组称之为扩展用户组。
• 一个用户只有一个基本用户组，但是可以有多个扩展用户组，从而满足日常的工作需要。

5.1.1 useradd命令

useradd命令 用于创建新的用户，格式为“useradd [选项] 用户名”。使用该命令创建用户账户时，默认的用户家目录会被存放在/home目录中，默认的Shell解释器为/bin/bash，而且默认会创建一个与该用户同名的基本用户组。

useradd命令中的用户参数以及作用：

参数	作用
-d	指定用户的家目录(默认为/home/username)
-e	账户到期时间，时间格式为YYYY-MM-DD
-u	指定该用户的默认UID
-g	指定一个初始的用户基本组（必须已存在）
-G	指定一个或几个扩展用户组
-N	不创建与用户同名的基本用户组
-s	指定默认用户的shell解释器

注意:
/sbin/nologin，它是终端解释器中的一员，与Bash解释器有着天壤之别。一旦用户的解释器被设置为nologin，则代表该用户不能登录到系统中

[root@linuxprobe ～]# useradd -d /home/linux -u 8888 -s /sbin/nologin linuxprobe
[root@linuxprobe ～]# id linuxprobe
uid=8888(linuxprobe) gid=8888(linuxprobe) groups=8888(linuxprobe)

5.1.2 groupadd命令

groupadd命令 用于创建用户组，格式为“groupadd [选项] 群组名”。
为了能够更加高效地指派系统中各个用户的权限，在工作中常常会把几个用户加入到同一个组里面，这样便可以针对一类用户统一安排权限。

[root@linuxprobe ～]# groupadd ronny

5.1.3 usermod命令

usermod命令 用于修改用户的属性，格式为“usermod [选项] 用户名”。
Linux系统中的一切都是文件，因此在系统中创建用户也就是修改配置文件的过程。

1. 用户的信息保存在/etc/passwd文件中，可以直接用文本编辑器来修改其中的用户参数项目
2. 也可以用usermod命令修改已经创建的用户信息，诸如用户的UID、基本/扩展用户组、默认终端等。
   usermod命令中的参数及作用:

参数	作用
-c	填写用户账户的备注信息
-d -m	参数-d和参数-m连用，可重新指定用户的家目录，并自动用户旧的数据转移过去
-e	账户的到期时间，时间格式为YYYY-MM-DD
-g	变更所属用户组
-G	变更扩展用户组
-L	锁定用户禁止其登录系统
-U	解锁用户，允许其登录系统
-s	变更其默认终端
-u	修改用户的UID

[root@linuxprobe ～]# id linuxprobe
uid=1000(linuxprobe) gid=1000(linuxprobe) groups=1000(linuxprobe)

然后将用户linuxprobe加入到root用户组中，这样扩展组列表中则会出现root用户组的字样，而基本组不会受到影响：

[root@linuxprobe ～]# usermod -G root linuxprobe
[root@linuxprobe ～]# id linuxprobe
uid=1000(linuxprobe) gid=1000(linuxprobe) groups=1000(linuxprobe)，0(root)

再来试试用-u参数修改linuxprobe用户的UID号码值。除此之外，我们还可以用-g参数修改用户的基本组ID，用-G参数修改用户扩展组ID。

[root@linuxprobe ～]# usermod -u 8888 linuxprobe
[root@linuxprobe ～]# id linuxprobe
uid=8888(linuxprobe) gid=1000(linuxprobe) groups=1000(linuxprobe)，0(root)

5.1.4 passwd命令

passwd命令 用于修改用户密码、过期时间、认证信息等，格式为“passwd [选项] [用户名]”。

• 普通用户 只能使用passwd命令修改自身的系统密码
• root管理员 则有权限修改其他所有人的密码。更酷的是，root管理员在Linux系统中修改自己或他人的密码时不需要验证旧密码

passwd命令中的参数以及作用:

参数	作用
-l	锁定用户，禁止其登录系统
-u	解锁用户，允许其登录系统
–stdin	允许通过标准输入修改用户密码，如“NewPassword” passwd --stdin Username
-d	使该用户可以用空密码登录系统
-e	强制用户下次登录时修改用户密码
-S	显示用户的密码是否被锁定，以及用户所使用的加密算法名称

5.1.5 userdel命令

userdel命令 用于删除用户，格式为“userdel [选项] 用户名”。
如果我们确认某位用户后续不再会登录到系统中，则可以通过userdel命令删除该用户的所有信息。在执行删除操作时，该用户的家目录默认会保留下来，此时可以使用-r参数将其删除。

表5-4 userdel命令的参数以及作用：

参数	作用
-f	强制删除用户
-r	同时删除用户及用户家目录

5.2 文件权限与归属

每个文件的类型不尽相同，因此Linux系统使用了不同的字符来加以区分，常见的字符如下所示。

• -：普通文件。
• d：目录文件。
• l：链接文件。
• b：块设备文件。
• c：字符设备文件。
• p：管道文件。

在Linux系统中，每个文件都有所属的所有者和所有组，并且规定了文件的所有者、所有组以及其他人对文件所拥有的可读（r）、可写（w）、可执行（x）等权限。

对于一般文件来说：

• “可读”表示能够读取文件的实际内容；

• “可写”表示能够编辑、新增、修改、删除文件的实际内容；

• “可执行”则表示能够运行一个脚本程序。

对目录文件来说：

• “可读”表示能够读取目录内的文件列表；

• “可写”表示能够在目录内新增、删除、重命名文件；

• “可执行”则表示能够进入该目录。

文件的读、写、执行权限可以简写为rwx，亦可分别用数字4、2、1来表示，文件所有者，所属组及其他用户权限之间无关联。
表5-5 文件权限的字符与数字表示

权限分配	文件所有者			文件所属组			其他用户
权限项	读	写	执行	读	写	执行	读	写	执行
字符表示	r	w	x	r	w	x	w	r	x
数字表示	4	2	1	4	2	1	4	2	1

文件权限的数字法表示基于字符表示（rwx）的权限计算而来，其目的是简化权限的表示。

例：

• 若某个文件的权限为7则代表可读、可写、可执行（4+2+1）；若权限为6则代表可读、可写（4+2）。
• 有这样一个文件，其所有者拥有可读、可写、可执行的权限，其文件所属组拥有可读、可写的权限；而且其他人只有可读的权限。那么，这个文件的权限就是rwxrw-r——，数字法表示即为764。

在图5-1中，包含了文件的类型、访问权限、所有者（属主）、所属组（属组）、占用的磁盘大小、修改时间和文件名称等信息。

5.3 文件的特殊权限

在复杂多变的生产环境中，单纯设置文件的rwx权限无法满足我们对安全和灵活性的需求，因此便有了SUID、SGID与SBIT的特殊权限位。这是一种对文件权限进行设置的特殊功能，可以与一般权限同时使用，以弥补一般权限不能实现的功能。

5.3.1 SUID

SUID 是一种对二进制程序进行设置的特殊权限，可以让二进制程序的执行者临时拥有属主的权限（仅对拥有执行权限的二进制程序有效）。

5.3.2 SGID

SGID主要实现如下两种功能：

• 让执行者临时拥有属组的权限（对拥有执行权限的二进制程序进行设置）；
• 在某个目录中创建的文件自动继承该目录的用户组（只可以对目录进行设置）。

SGID的第一种功能是参考SUID而设计的，不同点在于执行程序的用户获取的不再是文件所有者的临时权限，而是获取到文件所属组的权限。

chmod和chown：

• chmod 命令是一个非常实用的命令，能够用来设置文件或目录的权限，格式为“chmod [参数] 权限 文件或目录名称”。
• chown 命令设置文件或目录的所有者和所属组，其格式为“chown [参数] 所有者：所属组 文件或目录名称”。
• chmod和chown命令是用于修改文件属性和权限的最常用命令，它们还有一个特别的共性，就是针对目录进行操作时需要加上大写参数-R来表示递归操作，即对目录内所有的文件进行整体操作。

# chmod
[root@linuxprobe ～]# ls -al test
-rw-rw-r——.1 linuxprobe root 15 Feb 11 11：50 test
[root@linuxprobe ～]# chmod 760 test
[root@linuxprobe ～]# ls -l test
-rwxrw———.1 linuxprobe root 15 Feb 11 11：50 test

# chmod
[root@linuxprobe ～]# ls -l test
-rwxrw———.1 linuxprobe root 15 Feb 11 11：50 test
[root@linuxprobe ～]# chown root：bin test
[root@linuxprobe ～]# ls -l test
-rwxrw———.1 root bin 15 Feb 11 11：50 test

5.3.3 SBIT

SBIT特殊权限位 可确保用户只能删除自己的文件，而不能删除其他用户的文件。换句话说，当对某个目录设置了SBIT粘滞位权限后，那么该目录中的文件就只能被其所有者执行删除操作了。

与前面所讲的SUID和SGID权限显示方法不同，当目录被设置SBIT特殊权限位后，文件的其他人权限部分的x执行权限就会被替换成t或者T，原本有x执行权限则会写成t，原本没有x执行权限则会被写成T。

[linuxprobe@linuxprobe tmp]$ ls -ald /tmp
drwxrwxrwt.17 root root 4096 Feb 11 13：03 /tmp
[linuxprobe@linuxprobe ～]$ cd /tmp
[linuxprobe@linuxprobe tmp]$ ls -ald
drwxrwxrwt.17 root root 4096 Feb 11 13：03 .

注意：文件能否被删除并不取决于自身的权限，而是看其所在目录是否有写入权限（其原理会在下个章节讲到）。

• 想对其他目录来设置SBIT特殊权限位，用chmod命令就可以了。对应的参数o+t代表设置SBIT粘滞位权限：

 [root@linuxprobe ～]# chmod -R o+t linux/
[root@linuxprobe ～]# ls -ld linux/
drwxr-xr-t.2 root root 6 Feb 11 19：34 linux/

5.4 文件的隐藏权限

Linux系统中的文件除了具备一般权限和特殊权限之外，还有一种隐藏权限，即被隐藏起来的权限，默认情况下不能直接被用户发觉。

5.4.1 chattr命令

chattr命令 用于设置文件的隐藏权限，格式为“chattr [参数] 文件”。
如果想要把某个隐藏功能添加到文件上，则需要在命令后面追加“+参数”，如果想要把某个隐藏功能移出文件，则需要追加“-参数”。

表5-6 chattr命令中用于隐藏权限的参数及其作用

参数	作用
i	无法对文件进行修改；若对目录设置了该参数，则仅能修改其子文件内容，而不能新建或删除文件
a	仅允许补充或追加内容，无法覆盖或删除内容(Append only)
S	文件内容变更后立马同步到硬盘
s	彻底从硬盘中删除，不可恢复
A	不再修改这个文件或目录的最后访问时间(atime)
b	不再修改文件或目录的存取时间
D	检查压缩文件中的错误
d	用dump备份时忽略本文件/目录
c	默认将文件或目录进行压缩
u	当删除该文件后依然保留其磁盘中的数据，方便日后恢复
t	让文件系统支持尾部合并（tail-merging）
X	可直接访问压缩文件中的内容

[root@linuxprobe ～]# echo "for Test" > linuxprobe
[root@linuxprobe ～]# chattr +a linuxprobe
[root@linuxprobe ～]# rm linuxprobe
rm：remove regular file ‘linuxprobe’? y
rm：cannot remove ‘linuxprobe’：Operation not permitted
可见，上述操作失败了。

5.4.2 lsattr命令

lsattr命令 用于显示文件的隐藏权限，格式为“lsattr [参数] 文件”。
在Linux系统中，文件的隐藏权限必须使用lsattr命令来查看，平时使用的ls之类的命令则看不出端倪：

[root@linuxprobe ～]# ls -al linuxprobe
-rw-r——r——.1 root root 9 Feb 12 11：42 linuxprobe

一旦使用lsattr命令后，文件上被赋予的隐藏权限马上就会原形毕露。此时可以按照显示的隐藏权限的类型（字母），使用chattr命令将其去掉：

[root@linuxprobe ～]# lsattr linuxprobe
———a——————— linuxprobe
[root@linuxprobe ～]# chattr -a linuxprobe
[root@linuxprobe ～]# lsattr linuxprobe
——————————— linuxprobe
[root@linuxprobe ～]# rm linuxprobe
rm：remove regular file ‘linuxprobe’? y

5.5 文件访问控制列表

前文讲解的一般权限、特殊权限、隐藏权限其实有一个共性——权限是针对某一类用户设置的。
如果希望对某个指定的用户进行单独的权限控制，就需要用到文件的访问控制列表（ACL）了。

• 通俗来讲，基于普通文件或目录设置ACL其实就是针对指定的用户或用户组设置文件或目录的操作权限。
• 另外，如果针对某个目录设置了ACL，则目录中的文件会继承其ACL；若针对文件设置了ACL，则文件不再继承其所在目录的ACL。

5.5.1 setfacl命令

setfacl命令 用于管理文件的ACL规则，格式为“setfacl [参数] 文件名称”。
文件的ACL提供的是在所有者、所属组、其他人的读/写/执行权限之外的特殊权限控制，使用setfacl命令可以针对单一用户或用户组、单一文件或目录来进行读/写/执行权限的控制。

• 针对目录文件需要使用-R递归参数；
• 针对普通文件则使用-m参数；
• 如果想要删除某个文件的ACL，则可以使用-b参数。

下面来设置用户在/root目录上的权限：

 [root@linuxprobe ～]# setfacl -Rm u：linuxprobe：rwx /root
[root@linuxprobe ～]# su - linuxprobe
Last login：Sat Mar 21 15：45：03 CST 2017 on pts/1
[linuxprobe@linuxprobe ～]$ cd /root
[linuxprobe@linuxprobe root]$ ls
anaconda-ks.cfg Downloads Pictures Public
[linuxprobe@linuxprobe root]$ cat anaconda-ks.cfg
[linuxprobe@linuxprobe root]$ exit

5.5.2 getfacl命令

getfacl命令 用于显示文件上设置的ACL信息，格式为“getfacl 文件名称”。
想要设置ACL，用的是setfacl命令；要想查看ACL，则用的是getfacl命令。

[root@linuxprobe ～]# getfacl /root
getfacl：Removing leading '/' from absolute path names
 file：root
 owner：root
 group：root
user：r-xuser：linuxprobe：rwx
group：r-x
mask：rwx
other：——

5.6 su命令与sudo命令

su命令 可以解决切换用户身份的需求，使得当前用户在不退出登录的情况下，顺畅地切换到其他用户，比如从root管理员切换至普通用户：

[root@linuxprobe ～]# id
uid=0(root) gid=0(root) groups=0(root)
[root@linuxprobe ～]# su - linuxprobe
Last login：Wed Jan 4 01：17：25 EST 2017 on pts/0
[linuxprobe@linuxprobe ～]$ id
uid=1000(linuxprobe) gid=1000(linuxprobe) groups=1000(linuxprobe) context=unconfined_u：unconfined_r：unconfined_t：s0-s0：c0.c1023

• su命令与用户名之间有一个减号（-），这意味着完全切换到新的用户，即把环境变量信息也变更为新用户的相应信息，而不是保留原始的信息。强烈建议在切换用户身份时添加这个减号（-）。
• 另外，当从root管理员切换到普通用户时是不需要密码验证的，而从普通用户切换成root管理员就需要进行密码验证了；

sudo命令把特定命令的执行权限赋予给指定用户，这样既可保证普通用户能够完成特定的工作，也可以避免泄露root管理员密码。
sudo服务的配置原则也很简单——在保证普通用户完成相应工作的前提下，尽可能少地赋予额外的权限。
sudo命令 用于给普通用户提供额外的权限来完成原本root管理员才能完成的任务，格式为“sudo [参数] 命令名称”。

表5-7 sudo服务中的可用参数以及作用：

参数	作用
-h	列出帮助信息
-l	列出当前用户可执行的命令
-u 用户名 或 UID	以指定的用户身份执行命令
-k	清空密码的有效时间，下次执行sudo时需要再次进行密码验证
-h	在后台执行指定的命令
-p	更改询问密码的提示语

总结来说，sudo命令具有如下功能：

• 限制用户执行指定的命令：
• 记录用户执行的每一条命令；
• 配置文件（/etc/sudoers）提供集中的用户管理、权限与主机等参数；
• 验证密码的后5分钟内（默认值）无须再让用户再次验证密码。

如果担心直接修改配置文件会出现问题，则可以使用sudo命令提供的visudo命令来配置用户权限。这条命令在配置用户权限时将禁止多个用户同时修改sudoers配置文件，还可以对配置文件内的参数进行语法检查，并在发现参数错误时进行报错。
修改配置文件：
执行

$sudo visudo

找到如下授权，注释

%admin ALL=(ALL) ALL

修改为新的授权，意思是不需要密码执行

%admin ALL=(ALL) NOPASSWD: ALL

保存并退出：
提示：执行sudo visudo，默认是使用nano编辑器，所以保存退出的时候需要通过快捷键的方式来完成

保存

执行“Ctrl+O”*

回车

执行完“Ctrl+O”后，会输出”File Name to Write sudoers.tmp”，在tmp后执行回车*

退出

执行“Ctrl+X”*

如果需要让某个用户只能使用root管理员的身份执行指定的命令，切记一定要给出该命令的绝对路径，否则系统会识别不出来。我们可以先使用whereis命令找出命令所对应的保存路径。

[root@linuxprobe ～]# whereis cat
cat：/usr/bin/cat /usr/share/man/man1/cat.1.gz /usr/share/man/man1p/cat.1p.gz
[root@linuxprobe ～]# visudo
96 ##
97 ## Allow root to run any commands anywhere
98 root ALL=(ALL) ALL99 linuxprobe ALL=(ALL) /usr/bin/cat

在编辑好后依然是先保存再退出。

每次执行sudo命令都要输入一次密码其实也挺麻烦的，这时可以添加NOPASSWD参数，使得用户执行sudo命令时不再需要密码验证：

linuxprobe@linuxprobe ～]$ exit
logout
[root@linuxprobe ～]# whereis poweroff
poweroff：/usr/sbin/poweroff /usr/share/man/man8/poweroff.8.gz
[root@linuxprobe ～]# visudo
…………省略部分文件内容…………
96 ##
97 ## Allow root to run any commands anywhere
98 root ALL=(ALL) ALL99 linuxprobe ALL=NOPASSWD：/usr/sbin/poweroff
…………省略部分文件内容…………

这样，当切换到普通用户后再执行命令时，就不用再频繁地验证密码了，我们在日常工作中也就痛快至极了。